イランの銀行のSSL証明書がOFAC制裁により失効

イランの銀行、SSL証明書が無効になったためドメインを変更

イランの銀行は、古いウェブサイトのセキュリティ証明書が信頼されなくなったため、新しいアドレスにウェブサイトを移行しています。国内最大の国営銀行であるイラン・メリ銀行は、顧客に新しいドメインを知らせるテキストメッセージを送信しました。国内最大手の商業銀行の一つであるバンク・メラットは、変更を通知せずに切り替えを行い、顧客が使用していたアドレスからのリダイレクトも行いませんでした。

原因は証明書そのものです。SSL/TLS証明書は、ブラウザがアドレスバーのサイトが主張する通りのサイトであることを確認できるようにするものですが、イランの機関はこれらの証明書を失っています。

これは単なるメンテナンスの問題以上のものです。銀行はウェブ上で、ブラウザのIDチェックが最も重要となる場所であり、この分野で採用されている回避策（新しいドメインと、ユーザーがクリックして進むことを期待される警告画面）は、まさにそのチェック機能を低下させます。また、これはウェブの他の部分ではあまり考える必要のないこと、つまり証明書発行局システムは、少数の政治的なチョークポイントを持つ共有されたグローバルユーティリティであり、イランはそのアクセスが狭まった場合に何が起こるかをまさに経験していることの生きた実証でもあります。

証明書の更新が停止した

証明書は、ブラウザが既に信頼している機関にまで連鎖バックする必要があります。証明書が期限切れになったり、失効したり、そのチェーンをたどれなくなったりすると、ブラウザはそのページをブロックし、代わりにセキュリティ警告を表示します。

イランのサイトは、これらの証明書について外国の発行元に大きく依存しています。証明書発行局の市場シェアを追跡する調査であるW3Techsによると、イランのウェブサイトで使用されている証明書の大部分をLet's Encryptが占めており、ポーランドの証明書発行局であるCertumが広く使用されているもう一つの発行元です。

イランの技術者は、これらの失効を、それらの発行機関による制裁遵守によるものだと考えています。Let's EncryptもCertumも、イランの銀行に特化した声明を発表しておらず、影響を受けた銀行も証明書が機能しなくなった理由を公に説明していません。この依存関係が示すのは、アメリカ以外の発行元を選択しても、それ自体で信頼チェーンを独立させることはできないということです。

銀行だけではない

エラーは貸付機関に限定されていません。公式為替レートを設定し、国の決済プロバイダーにライセンスを発行するイラン中央銀行や、通信省のライセンス部門である通信規制庁のドメインも、一部の他の政府サイトと同様に、一時的に同じ警告を表示しました。

新しいドメイン自体が攻撃対象となる

アドレスを変更することは、古いドメインの証明書の問題を回避します。しかし、それは新たな問題も生み出します。

古いリンク、検索結果、モバイルアプリ、保存されたブックマークは、引き続き廃止されたアドレスを指しています。銀行にアクセスできない顧客は、銀行を探します。検索エンジンやソーシャルメディアなどで探すことになりますが、これはまさに、公式の銀行ドメインと説得力のある偽物が区別しにくい環境です。通知やリダイレクトなしに移行した銀行は、最も多くの顧客をその検索に追い込むことになります。

［画像: 無効なSSL証明書のため、イランの銀行ウェブサイトの代わりに表示されるブラウザのセキュリティ警告］

銀行の証明書が検証できない場合、ブラウザはページではなくセキュリティ警告を表示します。クレジット: Digiato

何の意味もなさなくなる警告

ブラウザの警告は、IDが確認できないサイトに機密情報を入力するのを防ぐために存在します。それは稀であるため機能します。

正規の銀行や政府のサイトで繰り返し表示され、ユーザーが日常業務を行うためにそれを無視しなければならない場合、それはシグナルとしての機能を失い、プロセスの1ステップになります。この習慣はドメイン固有のものではありません。自分の銀行のサイトで「接続はプライベートではありません」を無視するように訓練された顧客は、その銀行に見せかけるように作られたフィッシングページでもそれを無視するでしょう。

いくつのイランのドメインが証明書を失ったかは確立されておらず、どの当局や機関もその数値を発表していません。