ルート証明書の署名アルゴリズムはSHA-1でも問題ないのでしょうか？

Question

ルート証明書の署名アルゴリズムはSHA-1でも問題ないのでしょうか？

たとえばシマンテックのサイトで使われているサーバ証明書を確認すると、ルート証明書は「VeriSign Class 3 Primary CA - G5」とでますが、
その署名アルゴリズムを確認するとsha1RSAとあります。
中間CAとサーバ証明書はsha256RSAなのに、ルート証明書はsha1RSAで問題ないのでしょうか？
理由をご教示・ご解説いただけると幸いです。

Answer 1

サーバー証明書等のハッシュ値は、証明書の真正性を確認するために必要なもので、それゆえに危殆化したハッシュアルゴリズムを使うことは危険です。しかし、ルート証明書は、何かを基準に真正性を確認するものではなく、ブラウザ等にインストールされているものを信頼するモデルであるため、ハッシュ値は実際には使っていません。このため、SHA-1でも現実的な問題はありません。ssllabsのテストでは、Weak or insecure signature, but no impact on root certificate と表示されますが、上記のような理由からです。

Comments

[evans]

ご回答いただきましてありがとうございました。

Answer 2

簡潔に言えば、ルート証明書自体になされた署名は、実質的な意味を持たないからです。

というのも、ふつうの証明書であれば上位の証明書で署名してありますが、「ルート」である以上ルート証明書に上位の証明書はなく、代わりにその証明書自身で署名してあるのです。

いわゆる「オレオレ証明書」も自己署名であることが多いのですが、それがルート証明書となるかは、ルート証明書としてブラウザに認識されているかどうか、それだけです。

攻撃する側にしても、証明書を組み込む手段があれば、自分で勝手な認証局のルート証明書を入れてしまうこともできるので、既存のルート証明書を入れ替えない形であっても大きな問題となります。わざわざ既存のルート証明書を偽造するまでもないのです。

Comments

[evans]

ご回答いただきましてありがとうございました。