DigiNotarへのハッキング、イラン反体制派の監視が目的か--531件の証明書被害

　ハッキングされたオランダの企業が発行した偽のセキュリティ証明書の件数は、先週報告された247件から531件にまで急増した。攻撃の主な目的は、イラン反体制派を監視することだったようである。

　オランダ法務省が先週末に公開したリストによると、ルート認証局であるDigiNotarが偽のSSL（Secure Sockets Layer）証明書を発行したドメインのリストには、CIAやMI6、Facebook、Microsoft、Skype、Twitter、WordPressなどのサイトが含まれるという。一部報道によると、オランダ政府はこの新しい情報を受けて、DigiNotarへの不信感を表明し、自らの管理下に置いたという。

　8月末、何者かがDigiNotarに侵入してGoogle.comのIDカードのデジタル版に相当するものを盗んだ後、イランに住む複数の「Gmail」ユーザーがログイン認証情報を盗まれる危険にさらされたとGoogleが明らかにしたことで、今回の侵入が発覚した。この問題がGoogleのサポートサイトで初めて表面化したのは8月28日のことだ。しかし、DigiNotarは7月19日に同社Certificate Authority（認証局）インフラストラクチャへの侵入を検知していたことを2週間前まで認めなかった。

　侵入が行われている間、何者かが「複数のドメイン」の偽の証明書要求を発行したが、DigiNotarは以前（影響を受けたドメインの数がもっと少なかった頃）、それらを無効にしたと述べていた。偽の証明書があれば、攻撃者は一定の状況下で、それらをセキュアなウェブサイトになりすますことができる。

　先述したGmail事件の影響を受けたのは、ほとんどがイラン人ユーザーだった。そして、それらの証明書はイラン反体制派を監視するために、おそらくイラン政府によって発行されたらしいと考えられている。影響を受けたドメインのリストを公表したTor ProjectのJacob Appelbaum氏によると、リスト上のあるドメイン証明書は「ペルシャ語を話す人からのコーリングカード」のようなものだったという。ペルシャ語は大半のイラン人が話す言語である。その内容は次のとおりだ。

CN=*.RamzShekaneBozorg.com,SN=PK000229200006593,OU=Sare Toro Ham Mishkanam,L=Tehran,O=Hameye Ramzaro Mishkanam,C=IR

　RamzShekaneBozorg.comは偽のアドレスで、Appelbaum氏の報告によると、「RamzShekaneBozorg」「Hameyeh Ramzaro Mishkanam」「Sare Toro Ham Mishkanam」はペルシャ語であり、それぞれ「偉大なクラッカー」「わたしは全ての暗号をクラックする」「わたしはお前の頭が嫌いだ（または、わたしはお前の頭を破壊する）」という意味だという。

　デジタルプライバシー権を擁護するオランダの団体Bits of FreedomのディレクターであるOt van Daalen氏は、今回のハッキングでイラン反体制派が「非常に危うい状態」にさらされたと述べた。

　Van Daalen氏はRadio Netherlands Worldwideに対し、「こんなことは言いたくないが、このハッキング攻撃のせいでイランの人々の命が危険にさらされた可能性は十分にある。イラン当局がこれらの証明書を使って、ユーザーを監視していることも想定できる。また、彼らがほかの証明書を使って、監視を続ける可能性も除外できない」と述べた。

　DigiNotarの監査証跡は不完全だと指摘したAppelbaum氏によると、リストにはおそらく二度と信頼すべきではない認証局（CA）ルートも含まれているという。

　Appelbaum氏は、「発行された証明書で最もひどいのは、*.*.comと*.*.org用のものだ。Windows Update用の証明書や他のホスト用の証明書は被害が比較的限定されている」とTor Projectの投稿で述べている。「攻撃者はまた、中間CAの証明書の作成に成功したかは不明だが、ComodoGateで見られたように『VeriSign Root CA』や『Thawte Root CA』といった他の認証機関の名前で証明書を発行していた」（Appelbaum氏）

　「Internet Explorer」「Google Chrome」「Firefox」の最新版は、DigiNotar証明書をブロックする設定になっており、ユーザーがDigiNotarの証明書を使用するウェブサイトを訪問すると、警告が表示される。