インドのデジタルトラストサービス企業であるeMudhraは、10月22日（現地時間）に世界向けのSSL/TLS証明書事業から自主的に撤退すると発表しました。この決定は、同社の認証局が運用する中間証明書の秘密鍵に問題が見つかったことを受けたものです。
秘密鍵の問題とブラウザ各社の対応
問題が判明したのは、同社の中間証明書8件において、署名に使用する秘密鍵が第三者でも簡単に復元できる状態にあったという点です。10月17日に研究者からの報告で明らかになり、これを受けて米Mozilla、米Google、米Apple、米Microsoftなどの各社が該当する中間証明書を相次いで遮断しました。さらにMozillaとGoogleは、上位のルート証明書「emSign ECC Root CA - G3」の信頼も取り消す方針を示していました。
同社のV・スリニバサン会長によると、問題発覚から14時間以内に該当する認証局を失効させ速やかに公表したものの、該当する認証局からWebサイト向けの証明書は発行されておらず、インフラへの侵入やデータ漏えいは確認されていないとしています。
撤退の背景と既存顧客への対応
撤退を決めた理由について、同社は世界向けSSL/TLS事業が売上高の約1％程度にとどまっていたことを挙げています。データ主権やコンプライアンス要件の高まりによってコストや事業の複雑さが増す一方、大手事業者が証明書を無償で発行している状況から収益性が大きく低下していました。さらに、今回の問題がSNSで拡散されて想定以上の注目を集めたことも取締役会での決定につながりました。
既存顧客に対しては、移行が完了するまでRSA方式のルート証明書「G1」系統の運用を継続し、個別連絡の上で提携先が発行する証明書への無償置き換えを実施する方針です。また、電子署名用証明書や企業向けPKI製品など、SSL/TLS事業とは別の基盤で提供されているインド国内向けの署名サービスや認証製品については、影響を受けず通常通りの提供が続けられます。
