疑わしい証明書を見抜く方法｜Windowsの「信頼されたルート証明機関」ストアの確認手順

Windowsユーザーは、パソコンにインストールされている証明書にもっと注意を払う必要があります。Lenovo Superfish、Dell eDellRoot、Comodo PrivDogなどの証明書をめぐる最近のインシデントは、新しいアプリケーションをインストールする際の注意深さに加え、メーカーによってシステムにプリインストールされているソフトウェアや証明書を把握しておくことの重要性を示しています。偽造または特殊な手法で生成された証明書は、ハッカーによるMiTM（中間者）攻撃の実行、HTTPSを含む通信内容の盗聴、悪意あるソフトウェアやスクリプトの実行許可などに悪用されかねません。

信頼されたルート証明機関ストアとは

こうした不審な証明書は、通常「信頼されたルート証明機関（Trusted Root Certification Authorities）」ストアにインストールされます。ここでは、サードパーティ製の証明書がストアに紛れ込んでいないかを確認する方法を解説します。

本来、信頼されたルート証明機関ストアには、MicrosoftがMicrosoft Trusted Root Certificate Programのもとで検証・公開した信頼済み証明書のみが含まれているべきです。サードパーティ製の証明書をチェックするには、Sysinternals提供のツールSigcheckを使用します。

Sigcheckを使った確認手順

1. Microsoftの公式サイトからSigcheckをダウンロードします（https://technet.microsoft.com/en-us/sysinternals/bb897441.aspx）
2. Sigcheck.zipを任意のフォルダ（例：C:\install\sigcheck\）に展開します
3. コマンドプロンプトを起動し、ツールのあるディレクトリへ移動します：cd C:\install\sigcheck\
4. コマンドプロンプトで sigcheck.exe –tv を実行します（64ビット版Windowsの場合は sigcheck64.exe –tv）
5. 初回実行時にはライセンス条項への同意を求める画面が表示されるので、同意します
6. 続いてツールは、Microsoftのルート証明書リストをCTL（Certificate Trust List）形式で格納したauthrootstl.cabアーカイブをMicrosoftのサイトからダウンロードし、自身のディレクトリに保存します。

   ヒント：インターネットに直接接続できない環境では、https://download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab からauthrootstl.cabを手動でダウンロードし、SigCheckと同じフォルダに配置しても問題ありません。

7. ツールは、コンピューターにインストール済みの証明書リストとauthrootstl.cab内のMicrosoft公式ルート証明書リストを照合します。ローカルのルート証明書にサードパーティ製のものが存在すれば、SigCheckがそれを表示します。この例では、test1という名前の証明書が1件検出されました（PowerShellスクリプトのコード署名用にNew-SelfSignedCertificateコマンドレットで作成した自己署名証明書です）
8. 検出された各サードパーティ証明書については、信頼済みリストに残すべきかどうかを個別に判断します。あわせて、どのアプリケーションがその証明書をインストール・使用しているのかを調査することも推奨されます。

   ヒント：コンピューターがドメインに参加している場合、「サードパーティ」として検出される証明書には、内部認証局（CA）のルート証明書や、システムイメージに組み込まれた証明書、GPOで配布された証明書などが含まれる可能性があります。

9. 不要な証明書を信頼済みリストから削除するには、証明書管理コンソール（certmgr.msc）を起動し、信頼されたルート証明機関→証明書を展開して、SigCheckで検出された証明書を削除します

まとめ

以上のように、すべてのシステムでSigCheckによる証明書ストアの定期点検を行うことが推奨されます。特に、OSがプリインストールされたOEM製パソコンや、トレントサイトなどで配布されているWindowsイメージを使用している環境では、不正な証明書が仕込まれているリスクが高いため、必ず確認しておきましょう。