mitmproxy、侵害されたeMudhra CAキーで証明書署名オプションを追加
原題: mitmproxy adds --emudhra option
なぜ重要か
信頼ストアに含まれるCA秘密鍵の漏洩は、ブラウザやOSの証明書検証を根底から揺るがすインシデントであり、業界全体に影響を与える。
オープンソースのプロキシツール「mitmproxy」が、侵害されたeMudhra中間CA秘密鍵を使ってTLS証明書に署名する「--emudhra」オプションをコミット1692344で追加した。同時に、eMudhra CAをプリコンパイル済みバイナリから削除するcertifi依存関係のアップデート（#8499）も実施。メインテナーのmhils氏が両対応を担当した。
mitmproxyのメインテナーであるmhils氏は、GitHubコミット1692344（PR #8500）において、`--emudhra`という新しいコマンドラインオプションを追加した。このオプションを有効にすると、実際に侵害されたeMudhra中間CA秘密鍵を使ってTLS証明書に署名できる。
eMudhra（インドの認証局）の中間CA秘密鍵が何らかの形で漏洩または公開されたことを示す変更だ。mitmproxyはこのオプションをデフォルトで`False`に設定しており、意図的に有効化しない限り動作しない。
変更は6ファイルにわたり、139行の追加・9行の削除で構成される。変更対象はCHANGELOG.md、tlsconfig.py（オプション定義）、certs.py（証明書処理）、cmdline.py（CLIツール）、test_tlsconfig.py（テスト）、_options_gen.ts（Web UI用の型定義）と幅広い。
並行して実施されたPR #8499では、certifi依存関係を更新し、eMudhra CAをmitmproxyのプリコンパイル済みバイナリから完全に除去している。つまり、通常の利用経路ではeMudhra CAを信頼しないよう即座に対処しつつ、研究・検証目的でその侵害鍵を活用できるオプションを研究者向けに提供する二段構えの対応となっている。
この機能はセキュリティ研究者がeMudhra CA侵害の影響を検証・再現するために用意されたものとみられる。eMudhra CAは複数のOSやブラウザの信頼ストアに含まれており、侵害されたCA秘密鍵は中間者攻撃（MITM）の文脈で極めて重大なリスクを持つ。