Jazz@着画で売る副業せどらー

インドの認証局「eMudhra」のやらかしで、今ネットが軽く魔境になってますけども。 現状を調べたので、守りに入らずに何が安全で何が危ないか書きます。 ■安全 ・Chrome・Firefox・Edge（最新版） ・Androidスマホ本体（再起動すれば対策が反映） ▲注意 ・Safari（iPhone・Mac） ・iPhoneのアプリ内ブラウザ（X・LINEなど） 気になる場合はリプライにある、告知/チェッカーのURLを内部ブラウザで開いてオールグリーンなら安全 → Appleのブロックは入っているが、一部の証明書がまだ通ってしまう不具合が報告されている（10/22時点、未解決） ・Androidのアプリ内ブラウザ ・PCのアプリ（Discord・Slack・VS CodeなどElectron製） 　→ アプリ本体の更新待ち これも ×危険 ・通信を行うアプリで、最新に更新されていないもの全て(例えば〇〇PAY等） ・ルーター・カメラ・テレビ・家電などのIoT機器 ・開発ツール（curl・Python・Node.js・Go・Javaなど） ◆やること ・OS・ブラウザ・アプリを全部最新にして、再起動 ・ルーターのファームウェア更新を確認 ・更新がそろうまで、フリーWi-FiとVPNは避ける ・リプのURLで「Run check」→「Insecure」が1つも出なければOK ーーー ▼ややこしい話（気になる人向け） 【なぜWi-FiとVPNなのか】 攻撃するには通信の途中に割り込む必要があります。怪しいWi-Fi・VPN・乗っ取られたルーターが入口になりますので今FreeWi-Fiはかなりヤバい。 【Safariの不具合】 Appleの失効リストには載っています。ただ、最後に認証局へ「本当に失効しているか」を問い合わせる仕組みになっていて、その問い合わせ先が落ちているため通ってしまうようです。 もう一段の守り（CT＝証明書の発行記録のチェック）で止まる見込みはありますが、確証はありません。iOSを最新にして、Appleの修正を待ちましょう。 【Androidのアプリ内ブラウザ】 Android標準のアプリ内ブラウザ（WebView）は、証明書チェックが甘いという研究があります。 WeChat・QQなど独自エンジンを積んだアプリは、今回の偽証明書を実際に通しています。 【IoT機器が一番やばい理由】 証明書の一覧が機器の中に固定されています。メーカーが更新を出さない限り、2039年まで偽証明書を信じ続けます。 【開発ツール】 失効情報も発行記録（CT）もチェックしないので、更新するまで偽証明書を素通しします。対応を待ち、対応したらすぐ更新しましょう。