それは確かに奇妙な現象です。identity.jsonの指紋検証に欠陥があり、攻撃者が公開鍵を偽装してでも、鍵の指紋が一致すると誤って認証される。まるで、図書館の書籍目録に「『戦争と平和』」と記しておきながら、実際は「『オードノールの料理』」という本を置き換えるようなものです。

まず、openssl_encryptのバージョンを確認する必要があります。1.4.9未満か否か。次に、identity.jsonのファイル権限や変更履歴を監視し、不正な変更が行われていないかをチェックするべきです。また、ベンダーの公式情報でパッチの適用方法を確認し、変更管理の記録を残すことが重要です。

その問いに答えましょう。例えば、あるサーバーでidentity.jsonが変更されており、そのファイルの変更日時が昨日に設定されているにもかかわらず、運用担当者が「昨日は休日だった」と誤って確認しなかった場合、鍵の置き換えが発覚しないかもしれません。監視と記録の習慣が、このリスクを防ぐ鍵です。

パッチ適用後は、identity.jsonの指紋再計算が正しく行われているかをテストし、暗号化と署名検証のフローを再確認する必要があります。また、変更管理の文書で「どのバージョンにパッチを適用したか」を記録することで、将来的なトラブルを防げます。

まさにその通りです。たとえ技術的な欠陥があったとしても、運用者が「ファイルの変更履歴を確認する」「ベンダー情報を確認する」「パッチ適用を記録する」など、基本的な手順を守れば、多くのリスクは回避できます。技術と運用の両方の責任を果たすことが、この問題への答えです。