エムウドラ・インターミディエイトCA の侵害

2026/10/20 22:58

エムウドラ・インターミディエイトCA の侵害

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

2026年10月20日、eMudhraの8つの中間CA証明書に関する秘密鍵が2025年4月の生成不具合により漏洩したことが発覚し、攻撃者が公開証明書から秘密鍵を復号化できるようになったとして、重大なセキュリティ侵害が確認されました。主要ブラウザ(Firefox、Chrome)およびApple製デバイスは、OneCRL、CRLite、CRLSetsなどのリボキジョンツールを活用し、すでに2017年10月17日から19日までにこれらのアイデンティティをブロックしています。しかし、このリボキジョン情報を消費しないクライアント(多くのブラウザ外アプリケーションを含む)は、影響を受けたルートへの不信感をオフラインで適用するために特定のパッチを適用するか、代替策を採用しなければ、重大なリスクに晒されています。影響を受けたユーザーは、Ubuntu、Debian、Arch Linuxなどのディストリビューション、ならびにNode.js、Go、Pythonを含む各種ライブラリを直ちに信頼できるバージョンに更新する必要があります。完全にパッチが適用されるまで、eMudhraのルートへの依存がありながら最新のアップデートや適切な不信感代替策を適用していない組織は、オンラインおよびオフラインの両環境でなりすまし攻撃に対して高いリスクに晒されています。

本文

eMudhra 中間 CA 証明書侵害事件(2026 年 10 月)

日付: 2026 年 10 月 20 日

概要

eMudhra の中間 CA(認証局)証明書の私用鍵が 8 つの機関において不正に取得されています。

  • これらの証明書は、Mozilla、Microsoft、Apple、Chrome などのルートプログラムおよび多数の下流の信頼ストアによって信頼されています。

発見経緯と検証方法

鍵が侵害されたことを証明するために、当初報告を行った Weighn が 10 月 17 日に以下の行動を行いました。

  • 各 8 つの中間 CA の私用鍵で特定のメッセージに署名し、ルートプログラムチームへ報告。
  • メッセージ内容:
    「ここで問題が発生しました。」— Wayne

proof.zip
ファイルの内容と検証方法

ファイルには署名されたメッセージが containedされており、それぞれの証明書の公衆鍵および署名が記載されています。OpenSSL での検証手順は以下の通りです。

openssl x509 -in EM-DV-TLS-CA-G3B.crt.pem -noout -pubkey | diff - EM-DV-TLS-CA-G3B.pub.pem
openssl dgst -sha384 -verify EM-DV-TLS-CA-G3B.pub.pem -signature EM-DV-TLS-CA-G3B.sig message.txt

実施された対応策

ルートプログラムおよび下流の信頼ストアは、ユーザー保護のための措置を講じました。

  • Firefox および Chrome: 2026 年 10 月 17 日よりブロック開始
  • Apple のデバイス: 2026 年 10 月 19 日よりブロック開始
  • 信頼ストアの更新: 問題が 10 月 19 日に責任ある方法で開示された後、多くの事業者はすでにパッチリリースまたは配布中。

影響とリスク

  • なりすまし攻撃の可能性: 侵害された任意の中間 CA の私用鍵を保持した攻撃者は、あらゆるウェブサイトやサービスをなりすますことが可能です。
  • 破棄情報の活用: Mozilla、Apple、Chrome は OneCRL、CRLite、CRLSets などを利用し、既にユーザー向けの対策を完了しています。
  • クライアント側の課題:
    • CA 側は侵害証明書を**破棄(revoked)**していますが、多くのクライアントではこの情報が参照されていません。
    • 信頼チェーンが更新されない限り、侵害された中間 CA を引き続き信頼してしまうリスクがあります。
    • ソフトウェアアップデートを受ける必要があります。

クライアントごとの状況確認

関連リポジトリ

以下の GitHub リポジトリにて詳細なリストを確認可能です。

検証コマンド (curl など)

以下の URL にアクセスし、「証明書エラー」が表示された場合に安全(侵害 CA を信頼していない)です。

curl https://dv-g3b-emudhra.we-have-a-problem.com/
curl https://dv-g3b-aaa-emudhra.we-have-a-problem.com/

オフライン検証用ファイル (
chains.zip
)

PEM 形式の証明書チェーンおよび OpenSSL 検証手順が含まれています。

  • impacted-intermediates.json
    : 侵害された 8 つの中間証明書と、Sectigo クロス署名情報のリスト。
  • roots.json
    : 影響を受けるルート証明書のリスト。

さらに詳しい情報

  • 技術報告書: Mozilla のバグトラッカーに記載された初期インシデント報告書
  • 対応スレッド: Mozilla dev-security-policy フォーラムの当該スレッド
  • パッチ一覧: github.com/galadran/we-have-a-problem.com

ユーザーへの推奨とバージョン確認

基本的な対応策

  • ブラウザおよびオペレーティングシステムを最新バージョンに更新することを強くお勧めします。

パッチ済みソフトウェア・パッケージのバージョン一覧

ソフトウェアパッチ済みバージョン
Ubuntu ca-certificates20260816ubuntu0.22.04.1, 20260816ubuntu0.24.04.1, 20260816ubuntu0.26.04.1, 20260816ubuntu0.26.10.1
Debian ca-certificates20250419~deb12u2, 20250419+deb13u1, 20260816+nmu1
Arch Linux ca-certificates-mozilla3.131.1-1
Gentoo ca-certificates20260816.3.125
Fedora ca-certificates対応待ち (pending)
FreeBSD ca_root_nss対応待ち (pending)
Chainguard ca-certificates20260909-r3
Alpine Linux ca-certificates20261020-r0
NSS3.131.1
curl CA bundle2026-10-20
Homebrew ca-certificates2026-09-25_1
Go1.27.3, 1.26.10
Node.js対応待ち (pending)
Python certifi2026.10.19
pip26.2.2
uv0.13.4
Rust rustls-webpki0.103.16
Rust webpki-roots / webpki-root-certs1.0.10
Electron44.9.1, 43.8.1, 42.11.16
Bun対応待ち (pending)
Composer ca-bundle1.4.16, 1.6.0
Elixir castore1.0.22

追加情報は github.com/galadran/we-have-a-problem.com を参照ください。


回避策 (Workarounds)

重要: パッチ適用前に以下の措置を行ってください。 一般ユーザーへの推奨はございません。 専門知識を持つユーザーのみが実施してください。

macOS 用 curl の回避策

標準搭載の

/usr/bin/curl
は破棄情報の確認を行わない場合があります。除外コマンドを実行してください。

sudo cp /etc/ssl/cert.pem /etc/ssl/cert.pem.bak && \
awk '/^(###|===) /{skip=0} /^=== .*\/CN=(AAA Certificate Services|emSign ECC Root CA - G3)$/{skip=1} !skip' /etc/ssl/cert.pem.bak | sudo tee /etc/ssl/cert.pem > /dev/null

Linux 系の回避策 (root ユーザーとして実行)

配布元から更新されるまでは、システム信頼ストア内で影響を受けるルート証明書を**不信(untrust)**に設定できます。

Debian および Ubuntu

sed -i \
  -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
  -e 's|^mozilla/Comodo_AAA_Services_root.crt|!&|' \
  /etc/ca-certificates.conf && update-ca-certificates

Alpine Linux

apk add ca-certificates && \
sed -i -e 's|^mozilla/emSign_ECC_Root_CA_-_G3.crt|!&|' \
  /etc/ca-certificates.conf && update-ca-certificates

Fedora, RHEL, CentOS Stream, Rocky Linux, AlmaLinux, Amazon Linux 2023

d=/etc/pki/ca-trust/source/blocklist; [ -d $d ] || d=/etc/pki/ca-trust/source/blacklist
trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
  $d/Comodo_AAA_Services_root.pem && \
trust extract --overwrite --format=pem-bundle \
  --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
  $d/emSign_ECC_Root_CA_-_G3.pem && \
update-ca-trust

openSUSE および SLES

d=/etc/pki/trust/blocklist; [ -d $d ] || d=/etc/pki/trust/blacklist
trust extract --format=pem-bundle \
  --filter='pkcs11:object=Comodo%20AAA%20Services%20root;type=cert' \
  $d/Comodo_AAA_Services_root.pem && \
trust extract --format=pem-bundle \
  --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
  $d/emSign_ECC_Root_CA_-_G3.pem && \
update-ca-certificates

Arch Linux

trust extract --format=pem-bundle \
  --filter='pkcs11:object=emSign%20ECC%20Root%20CA%20-%20G3;type=cert' \
  /etc/ca-certificates/trust-source/blocklist/emSign_ECC_Root_CA_-_G3.pem && \
update-ca-trust

NixOS (設定ファイルに追加)

security.pki.caCertificateBlacklist = [
  "Comodo AAA Services root"
  "emSign ECC Root CA - G3"
];

NetBSD の回避策

NetBSD 10 以降で、root ユーザーとして以下のコマンドを実行してください。

certctl untrust /usr/share/certs/mozilla/all/emSign_ECC_Root_CA_-_G3.pem && \
certctl untrust /usr/share/certs/mozilla/all/Comodo_AAA_Services_root.pem

FreeBSD の回避策

FreeBSD 14 以降で、root ユーザーとして以下のコマンドを実行してください。

cp /etc/ssl/certs/14bc7599.0 /usr/share/certs/untrusted/14bc7599.pem
cp /etc/ssl/certs/ee64a828.0 /usr/share/certs/untrusted/ee64a828.pem
certctl rehash

公開者: Dennis Jackson
ソースコード: GitHub
※PR のご提案も歓迎いたします。

同じ日のほかのニュース

一覧に戻る →

2026/10/21 3:29

許認可付きシムシティ

## Japanese Translation: 「Permit Pending」は、プレイヤーの役割を全能な計画者から市町村行政の実態に直面する脆弱な選出された職吏へと転換させることで、都市シミュレーションを再定義します。明確な勝利条件を持つ従来のゲームとは異なり、このサンドボックス体験は市民が市長を罷免するまで無限に続き、成功の鍵はインフラを整備することのみならず、複雑な官僚主義と政治的課題に対応して生き延びるかに依存することが強調されています。すべての建設プロジェクトは必要な審議会の招集、法的レビュー、さらには潜在的な訴訟を引き起こし、霧などに関する懸念を抱える住宅所有者、業界団体、環境保護主義者からの自然な反対を誘発します。プレイヤーは 4 年ごとの再選に直面する 7 議席の評議会において多数派を維持するため、公聴会で譲歩を行わなければなりません。有権者 turnout が高いグループは時間とともに過剰な影響力を行使するため、変動する政治情勢への適応が求められます。ヒートマップなどの診断ツールにより住民の人口統計が可視化され、特定の政策がなぜ反発やゲーム内の新聞「The Gazette」で報じられたスキャンダルへと至るのかを説明します。いくつかの法的訴訟は市長の任期を超えて継続することもでき、インフラストラクチャに関する決定は土地価格、家賃、雇用、税金、サービスにわたって実質的な経済における予期せぬ結果を生み出します。ブラウザベースのサンドボックスであり勝利画面やキャンペーンモードを備えず、最初の訪問後にはオフラインで動作し、プレイヤーは村として新たなスタートを切るか、他人の都市から既存の問題を引き継ぐことができます。

2026/10/21 7:21

連邦当局は、ランサム交渉担当者による ShinyHunters の金銭要求サイト運営を疑っている

## Japanese Translation: # 結論: 調査は驚くべき事実を明らかにしており、主要なランサムウェア集団「ShinyHunters」が、その伸縮サイトの管理を担当する米国の企業やカナダの企業のトップ経営者から直接的な支援を受けていることが判明した。従来の助言とは異なり、これらの仲介人は積極的に交渉を促進し、場合によっては被害者よりも先に機密データの窃取の詳細を知っていることもある。あるカナダの経営者は、脅迫される前に政府機関のファイルが盗まれていたことをFBIに報告しなかった。この深い協力関係は2019年以来進化しており、殺人依頼計画を含む計画や、「Rey」のような現在の指導者を「Ghostbyte」であるDaniel Tobokなどの以前の人物と結びつけるものも含まれている。 このスキャンダルは業界内で重大な利益相反の問題を浮き彫りにしている:ランソムの一部割合を受け取る仲介人は、攻撃を止めるのではなく、結果としてより高い支払いを促すように無意識に動機付けられる可能性がある。起訴はEdward Dubrovskyのような個人や未起訴の米国コンサルタントを対象としており、企業の過失か積極的な共犯が深刻な法的結果をもたらすことを示している。当局は被害者にランソムの支払いを行わないよう明確に警告しており、データは通常二次的な伸縮のために利用可能であり続けるためである。最終的に、この事件は以前会社を支援していた交渉サービスに対する信頼を破壊しており、一部のサイバー犯罪ネットワークが効果的に動作するためには内部の経営者への依存が不可欠であることを証明している。 ## Text to translate: Summary: A disturbing investigation reveals that major ransomware group ShinyHunters receives direct support from high-level executives at U.S. and Canadian firms who manage its extortion websites. Unlike traditional advice, these intermediaries actively facilitate negotiations, sometimes knowing sensitive data theft details before the victims do. One Canadian executive failed to alert the FBI regarding stolen agency files prior to their threatened release. This deep collaboration has evolved since 2019, involving plans for murder-for-hire and linking current leaders like "Rey" to former figures such as Daniel Tobok ("Ghostbyte"). The scandal highlights a critical conflict of interest within the industry: negotiators charging percentages of ransoms may inadvertently incentivize higher payments rather than stopping attacks. Prosecutions are now focusing on individuals like Edward Dubrovsky and uncharged U.S. consultants, demonstrating that corporate negligence or active collusion carries severe legal consequences. Authorities explicitly advise victims against paying ransoms, as data often remains accessible for secondary extortion. Ultimately, this case destroys trust in negotiation services that previously assisted companies, proving that some cybercriminal networks rely entirely on insider executives to operate effectively.

2026/10/20 18:08

DeepInfer:DeepSeek モデル向けの高性能推論フレームワーク

## Japanese Translation: DeepInfer は、NVIDIA SM100 GPU および Huawei Ascend 950 NPU 上でスケールサービング能力を備え、DeepSeek-V4.1-Flash モデルの DeepSeek の本番サービスを支えるオープンソースの高パフォーマンス推論フレームワークです。主に vLLM に構築され、SGLang および TensorRT-LLM を念頭に置いて設計されています。最適化されたカーネル(FlashMLA、DeepGEMM、DeepEP、TileKernels、DeepSelect、カスタム TileLang)と、Attention DP、バランスの取れた CP、MoE EP+EPLB、DSpark、信頼度に基づく検証、SWA 有界再生非同期スケジューリング、バッチ不変推論、決定論的サンプリング、構造化出力(regex/JSON スキーマ/EBNF)を含む高度な並列化戦略を支援します。 コア機能は環境変数経由で設定可能であり、DEEPINFER_ENABLE_MTP_VARLEN=1 で DSpark/検証を有効化し、DEEPINFER_USE_NEXTN_DECODE(デフォルト:5)で最大ドラフト長を制御します。デフォルトの V4.1 設定に対しては、DEEPINFER_YOCO_PREFILL_TRUNCATION_MODE=compact と DEEPINFER_YOCO_PREFILL_KEEP_TOKENS=140 でデコーダー SWA 有界再生非同期スケジューリングを設定します。デフォルトで CPU バッチスケジューリングとデバイス実行のオーバーラップを可能にするため、非同期スケジューリングを有効化し、NVIDIA 上で DEEPINFER_BATCH_INVARIANT=1 でバッチ構成間での同等の結果を実現するバッチ不変推論を活性化します。DEEPINFER_BATCH_INVARIANT=1、DEEPINFER_ENABLE_MTP_VARLEN=0、SamplingParams の固定 seq_seed を使用することで NVIDIA 上で決定論的サンプリングを実現し、SamplingParams に so_args={"schema_type": ..., "schema": ...} を渡すことで生成を regex/JSON スキーマ/EBNF に制限します。 完全な本番環境のセットアップには、専用の KV キャッシュシステムの統合、 disaggregated 形式での prefill/decode 操作の実施、およびデータ並列レプリカ間での負荷分散(初回リリースには含まれていない)が最終的には必要となる可能性があります。ユーザーは Linux、GCC ≥13.0、Python 3.12、CUDA 13(NVIDIA)または CANN 9.2(Ascend)、そして空の Python 3.12 環境の作成、DEEPINFER_ACCELERATOR=nvidia または ascend のエクスポート、および ./build.sh の実行からすぐに始めることができます。オフライン推論はデフォルトで deepseek-ai/DeepSeek-V4.1-Flash-1017 チェックポイントを使用し、初回実行時に Hugging Face キャッシュにダウンロードするか、DEEPINFER_HF_MODEL_DIR を介してオーバーライドします。例コマンドは python examples/offline_inference.py です。パフォーマンスベンチマークは 1 スケールアップドメイン内での prefill に 4 SM100 GPU、decode に 64 を使用して測定されました(再現は run_sweep.sh で可能;詳細は eval/README.md を参照)。このフレームワークは Apache License 2.0 の元でリリースされており、GitHub(https://github.com/deepseek-ai/DeepInfer)上で DeepSeek-AI(2026)に帰属しています。