背景
米国時間2026年10月17日、ある研究者が、8つのeMudhra中間認証局の秘密鍵がエントロピー不足で生成されており、公開証明書から派生できることを報告しました。派生した秘密鍵は、あらゆるドメインの証明書発行に使用でき、eMudhraルートを信頼するソフトウェアはそれらを受け入れます。
Mozilla、Google、Apple、Cloudflareは、影響を受けた中間認証局をブロックしました。Mozillaは、emSign ECC Root CA – G3を信頼ストアから削除し、Chromeは米国時間2026年10月27日に削除する予定です。eMudhraは、中間認証局を失効させました。
Oktaの対応
- セキュリティパッチの適用: この変更はOktaの運用環境全体に展開されました。Auth0の運用環境への展開も継続中です。
悪用の形跡なし: 現在までのところ、OktaおよびAuth0において悪用された形跡は確認されていません。
お客様にて必要な対応
OktaまたはAuth0が、お客様が管理するサーバーに接続し、そのサーバーの証明書チェーンにeMudhra emSign ECC Root CA – G3が含まれている場合にのみ、この変更が適用されます。サインインを含む、OktaおよびAuth0への受信アクセスは影響を受けません。
確認すべきケースは、Okta インラインフックやイベントフック、Auth0アクション、カスタムデータベース接続、Auth0フェデレーション接続など、独自のAPIを呼び出すブラウザ以外の接続またはWebhookです。
これらの接続では、これまでエラーが表示されていなかった可能性があります。以下のコマンドを実行し、証明書チェーン内で「emSign」を探してください。見つかった場合は、その証明書を別の信頼できる認証局（CA）の証明書に置き換えてください。変更がテナントに適用されると、そのエンドポイントへの接続は失敗します。
openssl s_client -showcerts -connect <your-host>:443
