> >

「Firefox」、SHA-1証明書のサポートを一時的に復活--HTTPSサイトのアクセスに問題

Zack Whittaker （ZDNET.com）翻訳校正：湯本牧子吉武稔夫（ガリレオ）2016年01月08日 10時50分

　ブラウザメーカーのMozillaは、一部の「Firefox」ユーザーが暗号化されたHTTPSサイトにアクセスできなくなったことを受けて、脆弱な暗号アルゴリズムである「SHA-1」のサポートを一時的に復活させた。

　MozillaはSHA-1証明書のサポート廃止が意図しない結果となったことについて、セキュリティスキャナやウイルス対策製品などの「中間者」デバイスが理由だとしている。

「HTC Vive Pre」で仮想現実空間を体験--開発者向けハードの最新バージョンを試す

　MozillaのセキュリティエンジニアであるRichard Barnes氏がブログ投稿で説明したところによると、ほとんどのFirefoxユーザーは影響を受けておらず、影響を受けているユーザーもFirefoxの最新版（米国時間1月6日にリリースされたバージョン43.0.4）にアップグレードするだけで問題を修正できるという。

　Barnes氏は次のように説明している。「ユーザーがHTTPSサイトへの接続を試みると、中間者デバイスがFirefoxに対し、サーバの本物の証明書でなく新規のSHA-1証明書を送信する」

　「Firefoxは新規のSHA-1証明書を拒否するため、サーバに接続できない」（同氏）

　幸い、Mozillaのセキュリティブログ（または他のHTTPSサイト）を訪れてみれば、自分が影響を受けているかどうか確認できる。影響を受けていれば、Mozillaのサイトからブラウザのアップグレードが可能だ。

　ただし残念ながら、これはまったく予想外の事態だったわけではない。

　数カ月前から知られていたことだが、SHA-1証明書は、（Mozillaが同証明書のサポートを廃止した）1月1日から言わば警告ランプが点灯した状態になるだろうとされていた。というのも、SHA-1はいつクラックされてもおかしくない状態で、そうなればこのアルゴリズムは役に立たなくなるからだ。ほとんどのウェブサイトはすでに新しいSHA-2証明書を利用するようアップデートされている。しかし、割合としては小さいながらもかなりの数のインターネットユーザーはまだ、この先何年にもわたって利用される新しいアルゴリズムSHA-2に対応するブラウザやデバイスを持っていない。

　Mozillaは今後も引き続き、SHA-1のサポート廃止に向けて取り組んでいくと述べている。