DigiNotar偽SSL証明書事件、全貌は未だ不明

SECURITY

もう疲れてきた、d:id:imatake:20110830:1314677827 ( d:id:imatake:20110905:1315185732 , d:id:imatake:20110906:1315274014 )の件の続き。

現状わかっているところで、500以上の証明書が発行されている。「*.twitter.com」「www.facebook.com」「*.skype.com」「*.wordpress.com」「*.microsoft.com」「*.windowsupdate.com」「*.torproject.com」「*.mozilla.org」「addons.mozilla.org」「www.cia.gov」「*.mossad.gov.il」など。

あとは、経緯とかまとまってるので INTERNET Watch を参照。


追記：エフセキュアブログの後半・追記分に不正発行されたドメインリストがあります。


■追記

この更新プログラム「KB2616676」はオランダの認証局DigiNotarが不正なSSL証明書を発行していた問題に対応するもので、関連の認証局が発行した証明書を全て失効させるはずだった。しかし、実際に同プログラムで失効させた不正証明書は6件にとどまり、それ以前に別の更新プログラムで対応した不正証明書を失効させる措置が盛り込まれていないことが分かったという。

Microsoft、不正証明書失効の更新プログラムを再配信 (ITmedia)

それ以前に別で対応した不正証明書失効の措置が抜けていたと言うことで、再度配信される。XPと2003のみ。