グーグル、中国の認証機関CNNICのルート証明書を排除へ - ZDNet Japan

最近発覚した、Googleの複数のドメインに対し不正な証明書が発行された問題で、同社は、中国のドメイン（.cn）を管轄する認証機関であるChina Internet Network Information Center（CNNIC）のすべての証明書を、同社の製品でブロックすることを決定した。
Google、Mozilla、Microsoftの各社は先週、MCS Holdingsというエジプト企業が電子証明書を悪用した問題への対応を発表している。この問題は、攻撃者がGoogleのサイトになりすまし、同社のサイトへの通信をインターセプトできるようにする可能性があるものだった。
この問題はMCS Holdingsが引き起こしたものだが、Googleは「不適切な組織に重大な権限を委譲した」としてCNNICを非難した。
CNNICは、MCS Holdingsが同社が登録したドメインの証明書にのみ使用する契約で同社に中間証明書を発行していたが、同社はこの証明書を使用して、google.com、google.com.eg、g.doubleclick.net、gstatic.com、www.google.com、www.gmail.com、googleapis.comの電子証明書を作成していた。
Googleは米国時間4月1日、この問題についてのブログ記事へのアップデートとして、CNNICとの共同調査の結果、「CNNICのルート証明書とEV CAをGoogle製品では認識しないようにすることを決定した」と発表した。この変更は、今後Chromeへのアップデートで実施されるという。
「この決定によって影響を受ける顧客を支援するため、公表されたホワイトリストを使用し、一定期間CNNICの既存の証明書を信頼できるものとして使用できるようにする」とGoogleは述べている。
「当社もCNNICも、今後不正な電子証明書が発行されるとは考えておらず、不正に発行された証明書がMCS Holdingsのテストネットワーク内という限定的な範囲以外で使用されたとも考えていない。CNNICは今後同様の問題が起こらないように取り組みを進める。CNNICは証明書の再組み込みを要請する前に、すべての証明書に対して透かし入り証明書を適用する。当社はCNNICの積極的な取り組みを賞賛し、適切な技術的および手続き的な統制が実施されれば、喜んで再び（CNNICの証明書を）組み込む予定だ」（Google）
この表現によれば、今回のブラックリスト化はCNNICの証明書取り扱いプロセスに対する条件付きのものに見える。だが、CNNICはこのGoogleの発表を批判している。
CNNICは2日、「Googleが下した決定は、CNNICにとっては受け入れられないものであり、理解できない。CNNICはGoogleがユーザーの権限と利害を十分に配慮するよう心から要請する」という声明を出し、さらに「CNNICがすでに証明書を発行したユーザーに対しては、正当な権利と利益が影響を受けないようにすることを保証する」と付け加えている。
ルートCAとしてのCNNICの役割が問題になったのは今回だけではない。中国でのネットワーク検閲行為を監視しているグループであるGreatFireは、CNNICの証明書を排除するよう繰り返しApple、Microsoft、Googleに呼びかけている。
同グループの主張によれば、CNNICはApple、Google、Yahoo、およびMicrosoftのサービスに対する中国国内での数多くの中間者攻撃に荷担している。
GreatFireは3月にGitHubを襲ったDDoSの主なターゲットであると考えられており、この攻撃は中国政府が行っているという主張もある。

http://japan.zdnet.com/article/35062669/

つーか、中国の法人にインターネットの重要な権限を委譲してある事自体がそもそもの間違い。
連中、中国人民軍のサイバー攻撃の為の足がかり位にしか思ってないぞ、マジで。