By Christiaan Colen AmazonからTwitterに至るまでインターネット上の約66％が使用するオープンソースの暗号化通信ソフトウェアであるOpenSSLは、「Heartbleed」と呼ばれる脆弱性の発見により、わずか4人のプログラマーによって維持されていたことがわかっています。「インターネットセキュリティ開発の資金や人員などのリソース不足」という問題が存在している中、オランダ政府がOpenSSLに巨額の助成金を捻出し、「政府の手でバックドアを設けることはさらなる脆弱性につながる」と公式表明しました。 Dutch govt says no to backdoors, slides $540k into OpenSSL without breaking eye contact • The Register http://www.theregister.co.uk/2016
先日、OpenSSLの重大バグ「Heartbleed」が発覚し、ネット上で大騒ぎとなっていた。非常に深刻な脆弱性となっているため、ネット上の様々なサービスが被害を被っている。 詳しくはTechCrunch Japanに書いてあるが、これは従来「安全」とされていたセキュリティにおける重大な欠陥であり、決して他人事では済まされない話だ。 セキュリティー研究者らが “Heartbleed“と呼ぶそのバグを悪用すると、過去2年以内のあらゆるバージョンのOpenSSLが走るシステムで、システムメモリー上にある大量のデータを暴露することが可能だ。 これがどういうことかと言うと、パスワード入力時に「*」などの文字で他人に読み取れないように置き換えられていたはずのパスワードが第三者に読み取れる可能性がある、ということだ。つまり、パスワードを盗み見できてしまうのだ。ハッキリ言ってこれは極めて危険。 あなたが
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11？2014.04.10 17:005,441 satomi サイトでクレジットカード番号入力しても鍵がかかるから大丈夫、という過去15年ぐらいの安心感を根底から覆すバグが検出され、世界各地でサイト管理者を震え上がらせています。 それに伴い、カナダ政府は確定申告のサービスを緊急閉鎖しました。この件に関して、セキュリティの専門家Bruce Schneier氏（Co3社CTO兼EFF理事兼ハーバード大フェロー）は｢壊滅的。10段階評価で考えると、これは11レベル｣と青筋立てて叫んでいます。 このように一国の公共サービスも停止させる重大なバグの名前は｢Heartbleed｣。血を吹く心臓という意味です。これの何がどう怖いのか、少し説明していきます。 暗号鍵の握手 アップルの脆弱性の時も出たように、ネットでセキュアな取引き
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
By Nguyen Hung Vu インターネット上で標準的に利用される暗号通信プロトコルのSSL/TLSを実装したオープンソースのライブラリ「OpenSSL」に、SSL/TLSの暗号化によって保護されている情報が特殊な環境下でなくても盗まれてしまう脆弱性が発覚しました。 Heartbleed Bug http://heartbleed.com/ 「Heartbleed Bug」と名付けられた脆弱性は、OpenSSLの1.0.1から1.0.1fまでのバージョンで発見されたもので、脆弱性が悪用されると、これらのOpenSSLで保護されたシステムのメモリが誰でも閲覧できるようになります。メモリが閲覧されることによって、サービスプロバイダを識別しユーザーのトラフィック・名前・パスワードなどの情報を暗号化する秘密鍵が危険にさらされ、悪意のある攻撃者がサービスやユーザーから直接通信を傍受したり、デー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く