アルプス システム インテグレーション株式会社

よくあるご質問

キーワードから探す

  • FAQ検索
  • ID検索

※スペースで区切って複数検索が可能です。

カテゴリで絞り込む

よく検索されるキーワード

カテゴリから探す

ID:7437
作成日: 2026/10/25

2026/10/25[ISWF] eMudhraの中間CA証明書に関する対応について（2026.10.28 13:00更新）

印刷
eMudhraの中間CA証明書流出に関する対応状況について、お知らせいたします。
 
InterSafe WebFilter（Proxy版）をご利用のお客様におかれましては、
以下の内容をご確認のうえ、必要なご対応をお願いいたします。 
 
1. 対象のお客様
　InterSafe WebFilter（Proxy版）でHTTPSデコード機能をご利用のお客様
　デコード利用されているかは添付URLの「[ISWF] HTTPSデコード機能の利用状況を確認する方法」をご確認下さい。

　※本事象はHTTPSデコード機能だけでなく、LDAPS通信時のサーバ証明書検証にも影響します。
　　　LDAP連携でLDAPSをご利用の場合も本FAQの対応をご実施ください。
　　　LDAPS通信については、悪用にInterSafe WebFilter-LDAPサーバ間での中間者攻撃が必要であり、
　　　InterSafe WebFilterとLDAPサーバが同一LAN上に配置された一般的な構成では現実的なリスクは低いと考えられます。
　　　別拠点接続やWAN/VPN経由など通信経路が長い構成では相対的にリスクが高くなります。
  
2. 影響範囲
　中間CA証明書流出により、HTTPSデコードを行う通信において、攻撃者がInterSafe WebFilter(Proxy版)と
　接続先サイトの間の通信に割り込み、接続先になりすます不正な証明書がInterSafe WebFilterに受け入れられた場合、
　認証情報や送受信データの盗み見、通信内容の改ざん(MITM攻撃)につながる恐れがあります。

3. 対応方法
　InterSafe WebFilterが信頼するルート証明書一覧に該当証明書が含まれているため、
　以下の対応が必要です。

　1.該当証明書の削除　（Ver9.1SP2 Build1501以降をご利用のお客様が対象です）
　該当証明書の削除はInterSafe WebFilterが参照する信頼済み証明書リスト（cacerts）から対象のルート証明書を削除します。
　これにより対象証明書チェーンを信頼しなくなり、当該証明書を用いた通信が受け入れられないようになります。
　○証明書リストに信頼済み証明書をインポートされていない場合
　　本FAQに添付の証明書ファイル「1_cacerts.zip」(※)をダウンロードの上、後述の「■差し替え手順」に沿って
　　差し替えをお願いいたします。
　　※eMudhraの中間CA証明書を削除済みのものです。
　　証明書リストにインポートを行っているかの確認は添付URLの「[ISWF]信頼済み証明書の追加登録有無を確認する方法（Ver9.1SP2 Build1501以降」でご確認下さい

　○証明書リストに信頼済み証明書をインポートをしている場合
　　以下のどちらかの対応をお願いいたします。
　
　①本FAQに添付の証明書ファイル「1_cacerts.zip」への差し替え後、信頼済み証明書リストへインポートを行う

　　⇒後述の「■差し替え手順」を実施後、「■信頼済み証明書リストの追加方法」に沿って
　　　再度信頼済み証明書リストへインポートをお願いいたします。

　② 手動で該当証明書の削除を行う

　　⇒後述の【該当証明書を手動削除する場合】の手順に沿って該当証明書の削除をお願いいたします。

　2.ブラックリストの有効化（ご利用バージョンによらずHTTPSデコード機能をご利用のお客様が対象です）
　ブラックリストは、特定の証明書を検出した際に強制的に拒否するための機能です。
　1.の該当証明書の削除が「信頼しない」ための対策であるのに対し、ブラックリストは「検出した場合に拒否する」ための追加対策となります。

　本FAQに添付のブラックリストファイル「2_blacklist_win.zip」もしくは「2_blacklist_linux.zip」をダウンロードの上、
　後述の「■ブラックリストの有効化手順」に沿って差し替えをお願いいたします。

　＜注意点＞
　作業前に、ご利用中のInterSafe WebFilterのバージョンおよびOS（Windows版/Linux版）をご確認ください。 　
　バージョンおよびOSによって、置き換えるファイルが異なります。該当する添付ファイルをご確認のうえ、 ご対応をお願いいたします。

1.該当証明書の削除方法

　■対象ファイル
　　・Windows版
　　　＜インストールディレクトリ＞\conf\cacerts
　　　＜インストールディレクトリ＞\conf\cacerts.pem
　　・Linux版
　　　＜インストールディレクトリ＞/conf/cacerts
　　　＜インストールディレクトリ＞/conf/cacerts.pem 

　※ ＜インストールディレクトリ＞の初期値は以下となります。
　　 Windows版：C:\intersafe\
　　　　　 Linux版：/usr/local/intersafe/
　※ 作業前には対象ファイルをバックアップするか、
　　 管理画面[保存>復旧]機能で既存の設定を保存してください。
 
【対象ファイルを差し替える場合】

　■差し替え手順
　1）InterSafe WebFilterが稼働しているサーバへアクセスし、
　　 前述の「差し替え対象となるファイル」のバックアップを取得します。
　2）InterSafe WebFilterのフィルタリングサービスを停止します。
　3）本FAQに添付しているファイルと差し替えます。
　　※Linuxをご利用の場合、差し替えたcacertsおよびcacerts.pemの
　　　権限と所有者の情報が以下となるよう設定をお願いいたします。
　　----------------------------------------------------------------------
　　-rwxr-xr-x.  1 intersafe intersafe XXXX XX月 XX XX:XX cacerts　　
　　----------------------------------------------------------------------
　4）フィルタリングサービスを起動します。 　
　5）プライマリ/レプリカ構成の場合は、
　　　管理画面[設定情報管理]-[保存/復旧/同期]の[レプリカサーバ同期]で「今すぐ同期を実行」をクリックします。
 
　■信頼済み証明書リストの追加方法
　1）管理画面[サーバ管理]-[信頼済み証明書設定]をクリックします。 
　2）[証明書設定]-[認証局証明書]より、登録する認証局証明書の
　　 ファイルを選択します。 
　　 ※登録できる証明書のファイル形式はDERまたはPEM形式です。 
　3）[証明書設定]-[識別名]に証明書の名前を入力します。
　　 ※caから始まる識別名や、既に登録済みの識別名は使用できません。 
　4）[登録]ボタンをクリックします。 
　5）確認のダイアログ上で[OK]ボタンをクリックします。 

　※プライマリ/レプリカ構成の場合、上記の作業で登録した証明書はレプリカに自動同期されるため、
　　　レプリカ側での対応は不要です。
 
問題が発生した場合は以下の手順で切り戻しをお願いいたします。　
 
　■切り戻し方法
　1）InterSafe WebFilterのフィルタリングサービスを停止します。
　2）バックアップとして取得していたファイルへ差し替えます。
　3）フィルタリングサービスを起動します。 
　4）プライマリ/レプリカ構成の場合は、
　　　管理画面[設定情報管理]-[保存/復旧/同期]の[レプリカサーバ同期]で「今すぐ同期を実行」をクリックします。


【該当証明書を手動削除する場合】
■事前準備 
(1)対象ファイルのバックアップ
(2)Git for Windows のインストール 
　※WindowsServerにInterSafeWebFilterを構築している場合、
　　本作業の一部でGit Bashを使用いたします。　あらかじめインストールをお願いいたします。
 
■作業手順
※Linuxサーバへ初期値のインストールディレクトリを指定して構築した環境での作業を想定した手順となります。
　インストールディレクトリが異なる場合やWindowsServerに構築されている場合は、
　「/usr/local/intersafe」の部分を読み替えてご覧ください。
 
１．フィルタリングサービスの停止 

２．cacsetsの更新 
　1)更新前のcasertsの証明書リストを出力します
 　　/usr/local/intersafe/jre/bin/keytool -list -v -storepass secret -keystore /usr/local/intersafe/conf/cacerts > before_list.txt 
　　※コマンドを実行したディレクトリにbefore_list.txtが作成されます。

　2)before_list.を開き、削除対象の証明書「emSign ECC Root CA - G3」を検索します。 
　　　以下例のように「別名」に表示されているものがエイリアス名になりますので、これを控えておきます。
　　　(例)
　　----------------------------------------------------------------------------------------------------------------
　　別名: ca78　←エイリアス名 
　　作成日: 2021/09/30 
　　エントリ・タイプ: trustedCertEntry
　　所有者: CN=emSign ECC Root CA - G3, O=eMudhra Technologies Limited, OU=emSign PKI, C=IN 
　　発行者: CN=emSign ECC Root CA - G3, O=eMudhra Technologies Limited, OU=emSign PKI, C=IN 
　　シリアル番号: 3cf607a968700eda8b84 
　　有効期間の開始日: Mon Feb 19 03:30:00 JST 2018
　　終了日: Thu Feb 19 03:30:00 JST 2043
　 　証明書のフィンガプリント:
　　　SHA1: 30:43:FA:4F:F2:57:DC:A0:C3:80:EE:2E:58:EA:78:B2:3F:E6:BB:C1
　　　SHA256: 86:A1:EC:BA:08:9C:4A:8D:3B:BE:27:34:C6:12:BA:34:1D:81:3E:04:3C:F9:E8:A8:62:CD:5C:57:A3:6B:BE:6B
　　署名アルゴリズム名: SHA384withECDSA 
　　サブジェクト公開鍵アルゴリズム: 384ビットEC (secp384r1)
　　鍵 バージョン: 3
　　----------------------------------------------------------------------------------------------------------------
 
　3)コマンドでエイリアス名を指定して削除します。
　　/usr/local/intersafe/jre/bin/keytool -delete -alias ca78 -keystore /usr/local/intersafe/conf/cacerts -storepass secret 
　　※-alias オプションに(2)で確認したエイリアス名を記述します

　4)更新後のcasertsの証明書リストを出力します
　　/usr/local/intersafe/jre/bin/keytool -list -v -storepass secret -keystore /usr/local/intersafe/conf/cacerts > after_list.txt 
　　※コマンドを実行したディレクトリにafter_list.txt が作成されます。

　5)after_list.txt を開き、削除対象の証明書「emSign ECC Root CA - G3」を検索してもヒットしないことを確認します。

３．caserts.pemの更新 
※Windows Serverで作業する場合は、Git Bashを起動し、Git Bash上でコマンドを実行してください。

　1)証明書リストの件数を確認します 
　　grep -c "BEGIN CERTIFICATE" /usr/local/intersafe/conf/cacerts.pem

　2) PEMファイルを1証明書ずつ分割します
　　awk 'BEGIN{n=0}/-----BEGIN CERTIFICATE-----/{n++;f="/tmp/cert"n".pem"}{print > f}/-----END CERTIFICATE-----/{close(f)}' /usr/local/intersafe/conf/cacerts.pem
　　※/temp配下に分割したファイルが作成されます。

　3) 削除対象の証明書の番号を確認します
　　for f in /tmp/cert*.pem; do openssl x509 -in "$f" -noout -fingerprint -sha256 2>/dev/null | grep -q  "86:A1:EC:BA:08:9C:4A:8D:3B:BE:27:34:C6:12:BA:34:1D:81:3E:04:3C:F9:E8:A8:62:CD:5C:57:A3:6B:BE:6B" && echo "$f"; done
　　※Ver9.2の場合は　/tmp/cert59.pem　という結果が返ってきます。

　4)削除対象の証明書に間違いがないかを確認します。 
　　openssl x509 -in /tmp/cert59.pem -noout -subject -issuer openssl x509 -in /tmp/cert59.pem -noout -subject -issuer
　　※-in オプションに(3)で確認したパスを記述します。

　5) 該当の証明書を除外したファイル作成 します。
　　awk 'BEGIN{n=0;skip=0}/-----BEGIN CERTIFICATE-----/{n++;skip=(n==59)} !skip{print} /-----END CERTIFICATE-----/{if(skip)skip=0}' /usr/local/intersafe/conf/cacerts.pem > /tmp/cacerts_without_59.pem
　　※n==59　の部分を削除対象の証明書の番号に変更します。
　　※/tmp/cacerts_without_59.pem のpemファイルの名前を任意のものに変更します。
 
　6) 削除後件数確認します。
 　　grep -c "BEGIN CERTIFICATE" /c/Temp/cacerts_without_59.pem grep -c "BEGIN CERTIFICATE" /tmp/cacerts_without_59.pem
　　※/tmp/cacerts_without_59.pemの部分を(5)で作成したファイルパスに変更します。

　7)更新対象のファイルに変更内容を上書き保存します。 
　　cp /tmp/cacerts_without_59.pem /usr/local/intersafe/conf/cacerts.pem
　　※/tmp/cacerts_without_59.pemの部分を(5)で作成したファイルパスに変更します。

　8)Linuxサーバをお使いの場合は、反映した証明書の権限および所有者が以下となるよう設定を変更します。
　　----------------------------------------------------------------------
　　-rwxr-xr-x.  1 intersafe intersafe XXXX XX月 XX XX:XX cacerts　　
　　----------------------------------------------------------------------

４．フィルタリングサービスを起動します。

5．プライマリ/レプリカ構成の場合は、
　　管理画面[設定情報管理]-[保存/復旧/同期]の[レプリカサーバ同期]で「今すぐ同期を実行」をクリックします。

※作業後に問題が発生した場合は前述の「■切り戻し方法」で切り戻しをお願いいたします。　

2.ブラックリストの有効化
　■ブラックリストの有効化手順　
　
　○Ver.9.1 SP2 Build 1501以降のバージョンをご利用の場合　
　　1)添付ファイル「2_blacklist_win.zip」もしくは「2_blacklist_linux.zip」から blocked.certs をダウンロードします。 　
　　2)現在の blocked.certs をバックアップします。 　　
　　　Windows版：＜インストールディレクトリ＞\jre\lib\security 配下 　
　　　　　　Linux版：＜インストールディレクトリ＞/jre/lib/security 配下 　　
　　3)ダウンロードした blocked.certs で、jre/lib/security/blocked.certs を上書きします。 　
　　　※Linuxをご利用の場合、差し替えたblocked.certsの権限と所有者の情報が以下となるよう設定をお願いいたします。
　　　----------------------------------------------------------------------
　　　　-rwxr-xr-x.  1 intersafe intersafe XXXX XX月 XX XX:XX blocked.certs
　　　----------------------------------------------------------------------
　　4)フィルタリングサービスを再起動します。
　　5)プライマリ/レプリカ構成の場合は、各サーバで同様の対応を実施してください。


　○Ver.9.1 SP2 Build 1501未満のバージョンをご利用の場合
　　1)添付ファイル「2_blacklist_win.zip」もしくは「2_blacklist_linux.zip」から blacklisted.certs をダウンロードします。 　
　　2)現在の blacklisted.certs をバックアップします。 　　
　　　Windows版：＜インストールディレクトリ＞\jre\lib\security 配下　
　　　　　　Linux版：＜インストールディレクトリ＞/jre/lib/security 配下 　　
　　3)ダウンロードした blacklisted.certs で、jre/lib/security/blacklisted.certs を上書きします。 　
　　　※Linuxをご利用の場合、差し替えたblacklisted.certsの権限と所有者の情報が以下となるよう設定をお願いいたします。
　　　----------------------------------------------------------------------
　　　　-rwxr-xr-x.  1 intersafe intersafe XXXX XX月 XX XX:XX blacklisted.certs　　
　　　----------------------------------------------------------------------
　　4)フィルタリングサービスを再起動します。 
　　5)プライマリ/レプリカ構成の場合は、各サーバで同様の対応を実施してください。

添付ファイル
参考URL

お知らせ

一覧
戻る
Powered by i-ask
Page Top