Windowsで1024ビット未満の証明書が利用不可に - まもなくパッチが自動配信へ

日本マイクロソフトは、8月より1024ビット未満のRSAキーを使用した証明書の利用を制限する更新プログラムを提供しており、任意で適用できるが、10月10日の月例セキュリティ更新プログラムを提供するタイミングで自動更新へ切り替える予定だ。

同プログラムは、暗号の危殆化に対応するため、1024ビット未満の証明書について利用を制限するもの。ダウンロードセンターおよびMicrosoft Updateカタログで提供しているが、10月10日以降、自動配信に移行する。

更新プログラムは、RSAキーを使用し、「CertGetCertificateChain関数」を呼び出すアプリケーションやサービスに影響があり、低ビットの証明書を用いたSSL通信やVPN接続、メールの暗号化、コード署名、クライアント証明書など利用できなくなる。

商用や公的な認証局が発行する証明書は、2010年問題を受け、すでに2048ビットへの移行が進んでいる。SSL通信に利用する証明書などは、数年ごとに更新が必要なため、低ビットの証明書を用いているウェブサイトなどは少ないと見られている。

一方独自に証明書を発行したり、古い携帯電話の仕様にあわせ、512ビットの証明書を用いている特殊なケースなどは、影響を受ける可能性がある。また古いアプリケーションやドライバなど、リリース当時に512ビット以下の証明書でコード署名されている場合も、注意が必要だ。

同社では証明書の鍵長チェックしたり、更新プログラム適用後の実機を用いた実地調査によって、ブロックされる証明書が存在しないか確認し、該当する証明書がある場合は、1024ビット以上の証明書を利用するよう呼びかけている。

また証明書のブロックにより不具合がでる場合は、「Certutilコマンド」やレジストリ設定より、ブロックする鍵長を変更し、一時的に回避することもできる。ただし、安全性が低い状態となるため、できるだけ早く高ビットの証明書へ移行し、設定を戻す必要がある。

（Security NEXT - 2012/10/03 ）ツイート