フィルタリング製品が不正なルート証明書を使用 - 秘密鍵が漏洩

Content Watchが提供するフィルタリングソフトの「Net Nanny」が、問題あるルート証明書を端末内にインストールすることがわかったとして、セキュリティ機関が注意を喚起した。不正なサイトを信頼したり、暗号化通信が盗聴されるおそれがある。

同製品は、通信を中継するプロクシとルート証明書を端末内にインストールするが、製品で共通の秘密鍵とルート証明書を使用。くわえて秘密鍵はソフト内部に平文で保存されており、取り出すことが可能だという。

同製品利用者は、この秘密鍵によって作成された自己署名証明書によるHTTPS通信を信頼してしまうため、フィッシングサイトに用いられたり、暗号化通信の盗聴などに悪用されるおそれがある。

セキュリティ機関は、「同7.2.4.2」において脆弱性を確認しており、他バージョンも影響を受けるおそれがあると指摘。

4月21日の段階で対策はわかっておらず、セキュリティ機関は、同製品においてSSLフィルタリングを無効にした上で、証明書ストアから問題の証明書を削除したり、同製品そのものをアンインストールするなど、回避策をアナウンスしている。

（Security NEXT - 2015/04/21 ）ツイート