接続先を確かめる仕組みに、抜け穴がありました。
Google Chromeなどのブラウザは、Webサイトを開いたときに、接続先が本物かどうかを「電子証明書」で確認しています。
ところが、証明書を発行する機関「eMudhra（イームドラ）」で、発行に使う一部の「秘密の鍵」が、第三者に簡単に割り出されてしまう状態だったことがわかりました。悪用されると、本物のサイトになりすますための証明書を偽造できてしまいま。
Google（グーグル）は10月20日の公式ブログで、この問題と対策を発表しました。Chromeでは問題のある証明書をすでにブロックしています。
ただし、追加の対策により、一部の本物のサイトも開けなくなる可能性があるようです。
証明書を作るための「秘密の鍵」が割り出せる状態に
「秘密の鍵」は、証明書の発行元が「確かに私たちが発行しました」と示すために使います。
他人がその鍵を使えてしまうと、発行元を装って証明書を偽造し、対策されていないブラウザなどに信用させることができてしまいます。
Chromeは報告を受けた当日、問題のある鍵を使う証明書をブロックしました。この対策に、利用者によるChrome本体の更新や再起動は必要ありませんでした。
Googleによると、Chromeでは証明書の公開記録を確認する別の仕組みも働いており、ブロック前も、今回の問題を悪用したなりすましを防げる状態だったとしています。
追加の対策で、いつものサイトが開けなくなることも
さらにGoogleは、問題のあった証明書の大元にあたる「ルート証明書」のひとつ、「emSign ECC Root CA - G3」も、Chromeが信用する対象から外すと発表しました。
同じ大元につながる証明書を使う正規サイトも影響を受けます。 サイト自体に問題がなくても、Chromeが証明書を信用しなくなり、開けなくなる場合があるためです。
影響を受けるサイトの運営者は、Chromeが信用する別の大元につながる証明書へ交換する必要があります。
Googleは、この変更を日本時間10月27日夜〜28日未明に配信する予定だと発表していました。現時点での反映状況は不明ですが、もう影響を受けている端末もあるかもしれませんね…。