「Windows の全バージョンに危険な脆弱性が見つかる」記事へのコメント

台湾企業からは何でも漏れる

[Anonymous Coward]

「使われた証明書は Realtek Semiconductor 社の証明書の他、JMicron Technology 社の証明書も使われている」ということで，両社からの正当なコードの流出も疑われているそうだが，台湾企業からは何でも漏れることを知ってる人は驚きはしない。（特に半導体の設計受託・製造受託企業からは）
ちなみにRealtekとJMicronはどちらも有名な半導体メーカーなので，下手をしたら両社の半導体のWindows用ドライバの証明書は信用できるか？ドライバにワームが混入していないか？という騒動になりかねない。

Re:

[deleted user (19654)]

そういうアヤシゲな証明書を知っているときに、自分で選んで
無効として扱えるオプションがあればいいですね。あるのかな。

あと、それ以前に、expire/revoke された証明書がチェックされれば、
この問題の被害はもっと小さくなるはずですが、そこんとこもどうなんでしょう。

今から元記事を見てきますが、ご存知のかたは教えてくださると嬉しいです。

Re:

[Ryo.F (3896)]

そういうアヤシゲな証明書を知っているときに

CRLとかOCSPがきちんと運用されていれば問題ないはずなんですけど、どうなっているんでしょう？

Re:

[Ryo.F (3896)]

JMicronの証明書は、 既に発行者であるVeriSignから廃棄(Revoked)扱い [verisign.com]にされています。

Realtekの証明書は、2010/6/11に有効期限切れ(Expired)を迎えていますが、さらに廃棄( [verisign.com]

Re:台湾企業からは何でも漏れる

[Ryo.F (3896)]

す、すまん。急いでたんで、ヘンテコな日本語に…
その上、検索後のリンクはセッション管理されてるみたいで結果が不明だね。
正しい情報は、VeriSignの証明書検索ページ [verisign.com]の「Search by Common Name」で「Common Name」に「JMicron Technology Corp.」(もしくは「Realtek Semiconductor Corp」)を入力して検索、「Status」に「Revoked」が含まれているものがそれ。
参考 [f-secure.jp]。

Re:

[Anonymous Coward]

Expireした証明書をRevokeするのは意味があるんでしたっけ？

ExpireするとCRLを確認しなくなるから期限切れ証明書は危ないっていう話をきいたような。