本来推測不可能な秘密鍵にわずか1バイトの値を使っていたeMudhraがSSL/TLS証明書事業から撤退

この記事についての感想

暗号技術の世界って本当に恐ろしいもので、たった1バイトのミスが致命傷になるんだなと改めて思い知らされる事件でした。eMudhraという認証局がSSL/TLS証明書事業から完全に撤退することになったわけですが、原因が本来は推測不可能なはずの秘密鍵になんと1バイトの値を使っていたという、エンジニアならガチで冷や汗をかくレベルのやらかしなんですよね。セキュリティの根幹を支える証明書を発行する立場の組織が、そんな初歩的な実装ミスをやらかすなんて信じられないというか、セキュリティの基本の「き」すら吹っ飛んでいたと言われても仕方がないレベルです。ブラウザやOSのルート証明書プログラムからも信頼を完全に失ってしまい、ビジネス継続が不可能になった結果としての撤退劇ですが、インフラを支える信頼って築くのは何年もかかるのに、たった一つの実装ミスで一瞬にして崩れ去るんだなとネット民の間でもかなり話題になっていました。そもそも鍵の生成ロジックのテストや監査は一体どうなっていたのか、組織ぐるみでガバガバだったのかと考えると恐怖しかありません。インターネットの安全性はこうした信頼の上に成り立っているだけに、今回の件は業界全体への強烈な戒めになりそうですね。それにしても1バイトって、マジでファミコンの容量制限みたいなノリで暗号鍵を作っていたのかと疑いたくなるレベルで草も生えません。