2017年11月11日Tweet勝手にルートCA証明書をインストールするという脆弱性がSavitechの製造するUSBオーディオ機器専用のドライバに存在することが判明しました。Notes(JVN)」で発表しています。今回発見された脆弱性について今回発見された脆弱性は「CVE-2017-9758」で、概要としてはルートCA証明書をユーザーの許可なくWindows上で信頼済みのルート証明機関ストアとしてインストールしてしまうという内容のものです。業務でインターネットを利用するプライバシーマーク(Pマーク)取得会社がほとんどだと思いますが、プライバシーマーク(Pマーク)取得会社としても自社で取得している個人情報を保護するという観点からこのような脆弱性には注意しなければなりません。そもそも「ルート証明書」とは何でしょうか?「ルート証明書」とは?インターネット上には安全なサイトが多くありますが、その一方で不正にユーザーの情報を詐取しようとするような危険なサイトも存在します。一般的にパソコンには安全でないサイトにユーザーがアクセスするのを制限したり警告したりする機能があります。セキュリティが整備されたサイトであれば、アクセスしてくるユーザーに対してサイト側から「うちは信頼できるサイトです」という情報(SSLサーバ証明書)を送ることでそのような制限がかからないようにすることができます。この証明書を発行する所を「認証局」といいます。実はこの証明書、だれでも作成できるものです。認証局の中にも信頼できる所もあればそうでない所も存在する可能性があるわけです。すればサーバ証明書を発行した認証局自体が信頼できる機関かどうかを確認すればよいのでしょうか。ここに今度は認証局自体が信頼できることを証明するものが必要になってくるのです。これが「ルート証明書」です。ルート証明書による制限についてWindowsなどのパソコンにはたいてい代表的な認証局の証明書は信頼してよいという情報が入っているため、そのような認証局についてはいちいち証明を要しません。無名の認証局が発行した証明書による通信については、信頼できるとの情報が乏しいためブロックします。その無名の認証局のルート証明書をインストールすれば、そのパソコンではその認証局が発行するサーバ証明書を持つサイトは制限されなくなります。今回発見された脆弱性はSavitechドライバパッケージversion2.8.0.3より前のバージョンにおいて勝手にルート証明書がインストールされてしまうというものですが、現実にこの脆弱性が悪用された場合、Savitechの秘密鍵を取得した攻撃者により、悪意のあるプログラム送信されたりWebサイト上でなりすましされたり暗号化した情報や通信が盗聴されたりする可能性があるとのことです。プライバシーマーク取得会社の対策方法について対策ですが、もしSavitechドライバをインストールしているプライバシーマーク(Pマーク)取得会社あれば、インストールされたルート証明書を削除し、最新のSavitechドライバに更新することが推奨されています。■趣味:ゲーム■最近のはまり:ユーチューブ。千代田区に会社を構える株式会社ユーピーエフです。日本全国を対象にプライバシーマーク、ISMS取得をメインとする情報セキュリティーコンサルティング事業を展開しております。個人情報漏洩&セキュリティートラブル2019.11.14リクナビが個人情報漏洩事故でPマーク取り消し。個人情報漏洩&セキュリティートラブル2019.09.05リクナビ問題とは。当社のPマークやISMSのコンサルタントとして働いてみませんか?検索サイトPマークを取得している企業を検索できるサイトです。当社でPマーク新規取得を支援させて頂いたご感想の一部です。Pマークのコンサルタントになれる為の実践講座です。平日9:00~18:00/土日祝11:00~15:00。