ブロックチェーンセキュリティ企業のCertiKによると、主要テクノロジー企業が緊急の修正を展開したにもかかわらず、暗号資産のトレーディングボットや取引所アプリケーションは、インドのeMudhraに関連する証明書セキュリティの脆弱性に引き続きさらされる可能性がある。

火曜日までに、Google、Apple、Microsoftなどのテック大手は、eMudhraが発行した8件の脆弱な証明書をブロックした。これらの証明書は正規のウェブサイトの偽バージョンを作成できる可能性があるものだ(詳細はこれまでのCointelegraphの報道を参照)。eMudhraのような認証局はHTTPSの信頼の基盤に位置しており、ウェブサイトが自らの同一性を証明するために提示するデジタル証明書を発行する信頼された組織である。そのため、不適切に発行された証明書はウェブ全体のセキュリティ問題として扱われる。しかし、CertiKのデジタル資産セキュリティ担当シニアディレクターであるPeiyu Wang氏はCointelegraphに対し、こうしたブラウザレベルの修正は、別個のセキュリティシステムに依存する暗号資産アプリケーションには及ばない可能性があると語った。

「大手ブラウザによるブロックは、それを受け取り適用するクライアントのリスクを大幅に低減する」とWang氏は述べ、「ブラウザのエコシステム外の一部のアプリケーションは、証明書の透明性(Certificate Transparency)を適用せず、同じ失効保護も受けていない」と述べた。

証明書の透明性は、ブラウザがウェブサイトの証明書を公開され監査可能なログと照合する広く利用されているフレームワークであり、不適切に発行された証明書の検出とブロックを可能にする。このエコシステムの外で動作するアプリケーションは、同じ保護の恩恵を受けられない可能性がある。このギャップは、トレーディングボットや取引所アプリケーションがブラウザではなくAPIを通じてサービスとやり取りする暗号資産の分野に直接及ぶ。

Wang氏は、暗号資産サービスが他の業種よりも本質的にこの脆弱性の影響を受けやすいわけではないと強調した。それでもなお、攻撃者は侵害された証明書を悪用し、取引所、ウォレットインターフェース、APIが使用するHTTPS接続を装う可能性がある。

具体的には、攻撃者が暗号資産サービスになりすまして入金アドレスを差し替え、ユーザーを欺いて悪意あるトランザクションを承認させたりする可能性があるとWang氏は述べた。そのような攻撃には、ユーザーのインターネットトラフィックの傍受またはリダイレクトも必要であり、認証局の鍵の侵害だけでウォレットの秘密鍵が露出することはないという。

Wang氏は、暗号資産事業者に対し、ソフトウェアと証明書トラストストアを更新し、アプリケーションが影響を受けた証明書を拒否することを確認するよう促した。ブラウザレベルのブロックはそれらのブラウザ外のアプリケーションには自動的には届かないため、この検証作業は各事業者に委ねられている。

Felix Ngが取材に協力。

出典:Cointelegraph