ブラウザメーカーのMozillaは、一部の「Firefox」ユーザーが暗号化されたHTTPSサイトにアクセスできなくなったことを受けて、脆弱な暗号アルゴリズムである「SHA-1」のサポートを一時的に復活させた。
MozillaはSHA-1証明書のサポート廃止が意図しない結果となったことについて、セキュリティスキャナやウイルス対策製品などの「中間者」デバイスが理由だとしている。
MozillaのセキュリティエンジニアであるRichard Barnes氏がブログ投稿で説明したところによると、ほとんどのFirefoxユーザーは影響を受けておらず、影響を受けているユーザーもFirefoxの最新版（米国時間1月6日にリリースされたバージョン43.0.4）にアップグレードするだけで問題を修正できるという。
Barnes氏は次のように説明している。「ユーザーがHTTPSサイトへの接続を試みると、中間者デバイスがFirefoxに対し、サーバの本物の証明書でなく新規のSHA-1証明書を送信する」
「Firefoxは新規のSHA-1証明書を拒否するため、サーバに接続できない」（同氏）
幸い、Mozillaのセキュリティブログ（または他のHTTPSサイト）を訪れてみれば、自分が影響を受けているかどうか確認できる。影響を受けていれば、Mozillaのサイトからブラウザのアップグレードが可能だ。
ただし残念ながら、これはまったく予想外の事態だったわけではない。
数カ月前から知られていたことだが、SHA-1証明書は、（Mozillaが同証明書のサポートを廃止した）1月1日から言わば警告ランプが点灯した状態になるだろうとされていた。というのも、SHA-1はいつクラックされてもおかしくない状態で、そうなればこのアルゴリズムは役に立たなくなるからだ。ほとんどのウェブサイトはすでに新しいSHA-2証明書を利用するようアップデートされている。しかし、割合としては小さいながらもかなりの数のインターネットユーザーはまだ、この先何年にもわたって利用される新しいアルゴリズムSHA-2に対応するブラウザやデバイスを持っていない。
Mozillaは今後も引き続き、SHA-1のサポート廃止に向けて取り組んでいくと述べている。
多くの人が年始からこのような画面を目にしたはずだ。
提供：ZDNet/CBS Interactive
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
