認証局 eMudhra Limited が発行した中間証明書で、秘密鍵が第三者に推測できる状態にあったことが判明しました。
eMudhra公式サイトでの声明
ITメディア社によるニュース
ロリポップ！ゼロトラストリンクのクライアントアプリは、サーバとの通信が正しい相手とのものかを確かめるために、お使いの OS が持つ証明書の一覧を使っています。そのため、OS 側で該当の証明書がまだ有効とみなされている場合、アプリも同じように有効と判断しサーバとの暗号化された通信が傍受されてしまう可能性があります。
なお、接続済みの端末どうしの通信は、WireGuard によってエンドツーエンドで暗号化されています。この暗号化は今回の証明書の仕組みに依存しないため、影響を受けません。
お客様にお願いしたいこと
- クライアントアプリをバージョン1.3.1以降に更新してください。
- macOS / Windows 版は、アプリ内の自動アップデートで更新できます。
- Linux 版は、【配布ページ】 から新しいパッケージを入手して更新してください。
- iOS / Android 版は、各ストアから更新してください。
- ESP32 版も更新予定です。更新時に本お知らせに追記します。
- あわせて、お使いの OS を最新の状態に保ってください。Linux をお使いの場合は、ディストリビューションが提供する証明書パッケージ（ca-certificates など）も更新してください。
ご不便をおかけいたしますが、ご対応のほどよろしくお願いいたします。