MD5やSHA1アルゴリズムへの衝突攻撃でSSL証明書が偽造できる仕組みについて

Question

お世話になります。

MD5やSHA1アルゴリズムへの衝突攻撃でデジタル証明書が偽造できるという話を聞いたのですが、
実際どのように偽造できるのかがよく分かりません。
デジタル証明書は認証局の秘密鍵で署名したものを付与したもので、
ハッシュ値が衝突しても認証局の秘密鍵が分からなければ偽造はできないのではと考えているのですが、
どのような仕組みで偽造を可能としているのでしょうか。

よろしくお願いいたします。

Answer 1

デジタル証明書は認証局の秘密鍵で署名したものを付与したもので

ですが、署名は証明書のハッシュ値に対して与えられています。なので、ハッシュ値の同じ証明書をでっち上げられれば、署名だけ移しても一致してしまいます。

Comments

[annderber]

コメントありがとうございます。

サーバーから送られてくる証明書の検査のためにクライアントpcにプリインストールされている中間証明書などの公開鍵を使用して署名を復号化して中のハッシュ値が正しいか確認するというのが私の認識なのですが、この場合ハッシュ値を偽装できても秘密鍵が分からなければそもそも複合出来ないと思うのですがいかがでしょうか

[maisumakun]

同じハッシュ値に署名をかければ同じ結果が得られますので、「証明書A+署名1」に対して、「証明書A」と同じハッシュ値を持つ「証明書B」を作れれば、署名だけコピーして「証明書B+署名1」でも、ハッシュ値が一致するので正当、ということになってしまいます。署名用の鍵は不要です。

[annderber]

すこし分かってきたような・・・

署名だけコピーしてということですが、その署名のコピーはどのように取得するのでしょうか。
別の攻撃方法でということでしょうか。

[maisumakun]

HTTPSの場合、攻撃するまでもなく、接続時点で「証明書A+署名1」が送信されてきます。

[annderber]

そうでした。
また、そもそものお話なのですがSSL証明書が偽造されることによってどのような被害が考えられるでしょうか。検索しても具体的な記載がされている記事が少なく、とにかくやばい的なものが多いので全体像がつかみづらいです。