「Firefox」、SHA-1証明書のサポートを一時的に復活--HTTPSサイトのアクセスに問題

Zack Whittaker (ZDNET.com) 翻訳校正: 湯本牧子 吉武稔夫 (ガリレオ)2016年01月08日 10時50分

 ブラウザメーカーのMozillaは、一部の「Firefox」ユーザーが暗号化されたHTTPSサイトにアクセスできなくなったことを受けて、脆弱な暗号アルゴリズムである「SHA-1」のサポートを一時的に復活させた。

 MozillaはSHA-1証明書のサポート廃止が意図しない結果となったことについて、セキュリティスキャナやウイルス対策製品などの「中間者」デバイスが理由だとしている。

 MozillaのセキュリティエンジニアであるRichard Barnes氏がブログ投稿で説明したところによると、ほとんどのFirefoxユーザーは影響を受けておらず、影響を受けているユーザーもFirefoxの最新版(米国時間1月6日にリリースされたバージョン43.0.4)にアップグレードするだけで問題を修正できるという。

 Barnes氏は次のように説明している。「ユーザーがHTTPSサイトへの接続を試みると、中間者デバイスがFirefoxに対し、サーバの本物の証明書でなく新規のSHA-1証明書を送信する」

 「Firefoxは新規のSHA-1証明書を拒否するため、サーバに接続できない」(同氏)

 幸い、Mozillaのセキュリティブログ(または他のHTTPSサイト)を訪れてみれば、自分が影響を受けているかどうか確認できる。影響を受けていれば、Mozillaのサイトからブラウザのアップグレードが可能だ。

 ただし残念ながら、これはまったく予想外の事態だったわけではない。

 数カ月前から知られていたことだが、SHA-1証明書は、(Mozillaが同証明書のサポートを廃止した)1月1日から言わば警告ランプが点灯した状態になるだろうとされていた。というのも、SHA-1はいつクラックされてもおかしくない状態で、そうなればこのアルゴリズムは役に立たなくなるからだ。ほとんどのウェブサイトはすでに新しいSHA-2証明書を利用するようアップデートされている。しかし、割合としては小さいながらもかなりの数のインターネットユーザーはまだ、この先何年にもわたって利用される新しいアルゴリズムSHA-2に対応するブラウザやデバイスを持っていない。

 Mozillaは今後も引き続き、SHA-1のサポート廃止に向けて取り組んでいくと述べている。


多くの人が年始からこのような画面を目にしたはずだ。
提供:ZDNet/CBS Interactive

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

CNET Japanの記事を毎朝メールでまとめ読み(無料)

-PR-企画特集

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]