GoogleとMozillaが独裁国家の認証するルート証明書をブロックすると発表

独裁政治が続くカザフスタンでは、政府が認証したルート証明書のインストールが国民に強制されています。このルート証明書を導入してしまうとHTTPSプロトコルの暗号化通信が政府に傍受される可能性がある、という強い批判を受けて、MozillaとGoogleがカザフスタン政府によるルート証明書をブロックすることを表明しました。

Google Online Security Blog: Protecting Chrome users in Kazakhstan
https://security.googleblog.com/2019/08/protecting-chrome-users-in-kazakhstan.html

Mozilla takes action to protect users in Kazakhstan - The Mozilla Blog
https://blog.mozilla.org/blog/2019/08/21/mozilla-takes-action-to-protect-users-in-kazakhstan/

カザフスタンでは国内のインターネットサービスプロバイダー(ISP)が、「カザフスタン政府の認証したルート証明書をインストールすることが義務化された」とユーザーに通知。このルート証明書をインストールすると中間者攻撃によって通信が第三者に傍受される可能性が指摘されていて、実際にカザフスタン国内のISPによって中間者攻撃を受けていたという報告もあがっていました。

独裁国家が政府認証のルート証明書導入を国民に強制、ISPによる中間者攻撃も確認される - GIGAZINE

Firefoxを開発するMozillaは「本日、MozillaとGoogleはカザフスタンにおける個人のオンラインセキュリティとプライバシーを保護するために行動を起こしました。FirefoxとChromeはカザフスタン政府が国内のインターネットトラフィックの傍受可能性をブロックし、技術的に解決します」と宣言し、カザフスタンのルート証明書をブロックすることを発表しました。

具体的には以下のハッシュを持つルート証明書がブロックされます。Googleは、Chromiumプロジェクトの一環でGoogleが独自に作成した失効証明書リスト「CRL Sets」にカザフスタン政府のルート証明書を追加したとのこと。また、Firefoxは該当するルート証明書で応答するウェブサイトにアクセスしようとすると「証明書を信頼するべきではありません」というエラーメッセージが表示されるようになります。

Mozillaの「信頼とセキュリティ」担当シニアディレクターであるマーシャル・アーヴィン氏は「インターネットを利用するときにセキュリティを損なうような攻撃から保護してくれると世界中の人々がFirefoxを信頼しています。ユーザーとウェブの整合性を保護することがFirefoxの存在理由です」と語っています。

また、Chromeのシニアエンジニアリングディレクターのパリサ・タブリッツ氏は「Chromeユーザーのデータを侵害しようとする政府や組織によるいかなる試みも容認しません。私たちはこの特定の問題からの保護を実装していて、世界中のユーザーを保護するために常に行動を起こします」と述べました。

Mozillaの開発スタッフはカザフスタンのユーザーに対して、VPNソフトウェアもしくはTor Browserを使ってウェブにアクセスすることを勧め、ルート証明書を既にインストールしている場合にはデバイスからアンインストールした後にすべてのオンラインアカウントでパスワードを変更するべきだと主張しています。