自堕落な技術者の日記 : 最近の証明書の話題(1) 韓国政府PKIのマズいワイルドカード証明書発行 - livedoor Blog（ブログ）

どうも、証明書ハンターです。最近、個人的におもしろい証明書の話題がポンポン出てきたので、何回かに分けてご紹介したいと思います。 山賀さんのFacebookのフィードを見ていたら、 韓国政府PKIでまずい証明書を発行したというニュース(Google翻訳で読んでくださいw)を教えていただきまして、ハンターとしてはゲットしてコレクションに加えておきたいところ。 その問題というのは、韓国政府PKIが慶尚南道教育庁に不適切なワイルドカードSSLサーバー証明書を発行してしまったというもの。 慶尚南道は韓国の南東、釜山のすぐ北にあるのだそうです。 韓国のサイトは日本と同じでセカンドレベルを組織種別とする属性型ドメイン名を採用していて、政府系ドメインは「go.kr」のようになっていますが、以下のドメインに対してワイルドカードSSLサーバー証明書を発行してしまいました。 *.hs.kr - 高校 *.ms.

[tmatsuu]

oh

[KoshianX]

ワイルドすぎるw これすぐに失効手続きされるのかしら。

[stealthinu]

*.go.kr/*.co.kr/*.or.krとかすごいワイルドカード証明書になってるｗ 韓国政府のルートCAでChromeやFirefoxでは入ってないそうだけどIEだとヤバそう。

[albacore]

GPKIなんて可愛いレベルだった

[oldriver]

Windowsにルート証明書入ってるんなら、韓国はIEのシェア高いはずだから、結構影響大きいのでは。

[twatw]

わいどわいるどうぇぶ証明書

[GEROMAX]

これ北に利用されるとまずいんじゃないの？

[jovi0608]

お隣の国のGPKIもすごいことになっている。当然Windowsに入っているしw Chromeじゃどうなるか。 https://bugs.chromium.org/p/chromium/issues/detail?id=823665

[motch1cm]

面白い

[masatomo-m]

"証明書ハンター" というジャンルがあるとはしらなかったｗ

[lyiase]

すげえ、第2レベルに属性型があるドメインの第3レベルドメインをワイルドカードにした証明書なんて初めて見たよ。こんな危険な証明書、良く発行したな。しかも失効検証出来ないとか…。

[isrc]

韓国政府PKIが慶尚南道教育庁に不適切なワイルドカードSSLサーバー証明書を発行／「*.go.kr」の政府向けドメインや「*.co.kr」企業向け のワイルドが入っちゃってる／CRL失効検証はできず、OCSPもない

[pathtraversal]

『この証明書と秘密鍵があれば、韓国の任意の学校のフィッシングサイトを作ったり、暗号通信の盗聴や改ざんができてしまう可能性があり』<なんと豪快な…