ObjectDeliverer v1.9.1 リリース：eMudhra CA侵害へのセキュリティ対応

UnrealEngine向け通信プラグイン「ObjectDeliverer」のv1.9.1をリリースしました。

今回はセキュリティ対応が中心のリリースです。

2026年10月のeMudhra中間CA秘密鍵漏洩について

2026年10月17日〜20日にかけて、インドの認証局 eMudhra の中間CA証明書8件の秘密鍵が、脆弱な乱数生成により第三者に復元可能であることが判明しました。この鍵を持つ攻撃者は任意のドメインのTLS証明書を偽造でき、ブラウザや各種TLSクライアントでの偽装が可能になる深刻な事案です。

Chrome、Microsoft、Apple、Mozillaは即座に該当CAを遮断し、curlや各LinuxディストリビューションのCAバンドルも更新されました。しかし、ブラウザ以外のTLSクライアント（UnrealEngineアプリケーションを含む）は、OSやエンジンの信頼ストアの更新だけでは保護されない場合があります。

参考:

• eMudhra Intermediate CA Compromise（事案まとめサイト）
• Google Chrome Security の告知
• Cloudflare の技術解説

v1.9.1 の主な変更点

漏洩したeMudhra CAの証明書を拒否

ObjectDelivererのTLS通信（クライアント・サーバー両方）に、信頼できないCAリストを組み込みました。

• 漏洩した8つの中間CAと、その署名元ルート3件が発行した証明書チェーンを拒否します
• OSやエンジンの信頼ストアがまだ該当CAを信頼している状態でも拒否します
• クライアント側のサーバー証明書検証に加え、mTLS（クライアント証明書検証）でも強制されます
• チェーンを検査できない場合は接続を拒否します（fail-closed）

Get Last Tls Error の追加

TLS接続が失敗した理由（信頼できないCAによる拒否を含む）をBlueprintから確認できるAPIを追加しました。

独自の信頼できないCAを追加するC++ API

将来同種の事案が発生した場合に、アプリケーション側で即座に追加のCAを拒否リストへ登録できるC++ API（FObjectDelivererTlsTrustPolicy）を用意しました。

同梱CAバンドルの更新

テストプロジェクト同梱のCAバンドルを最新のMozillaルートストアへ更新しました。

対象バージョン

本対応はUE 5.5〜5.8の全ブランチに適用済みです。通常は最新3バージョンのみのサポートですが、セキュリティ対応のため UE 5.5 にも特別にバックポートしました。

アップデートのお願い

TLS通信を利用している場合は、なるべく早くv1.9.1以降へアップデートすることをおすすめします。自己署名証明書や独自CAを利用している場合でも、信頼ストアの状態に関わらず保護が有効になります。

なお、Peer Verification Disabled（サーバー証明書の検証を無効化する設定）を使っている場合は、証明書検証自体が行われないため本保護の対象外です。この設定はMITM（中間者攻撃）に対して無防備になるため、本番運用では使用しないでください。