OpenSSL脆弱性対策の「致命的なミス」、秘密鍵を変更せず

対策を済ませたはずのWebサイトの中に、盗まれたかもしれない秘密鍵を変更せずに新しい証明書に使っているWebサイトがあることが分かった。 オープンソースのSSL／TLS暗号化ライブラリ「OpenSSL」に重大な脆弱性が見つかってから1カ月。影響を受けるWebサイトが対応に追われる中で、SSL証明書を入れ替えて古い証明書を失効させておきながら、秘密鍵を変更せずに新しい証明書にも使ってしまうという「致命的なミス」を犯しているWebサイトがあることが分かったと、セキュリティ企業の英Netcraftが5月9日のブログで報告した。 「Heartbleed」と呼ばれる今回の脆弱性では、SSL暗号化通信に利用している秘密鍵やユーザーの情報など、重大な情報が流出する恐れがある。しかも攻撃を受けたとしても、痕跡は残りにくいという。 Netcraftによると、この脆弱性の影響を受けたWebサイトのうち、証明書

[itboy]

あらら・・・

[cvshin]

嘘でしょ？？秘密鍵を変えない理由が全くわからないんだが••• / OpenSSL脆弱性対策の「致命的なミス」、秘密鍵を変更せず

[shioki]

"秘密鍵を変更せずに発行された新しい証明書は、問題が発覚した4月7日から5月8日までの1カ月で3万件を超えているという"

[JULY]

証明書を失効させておいて、秘密鍵を変更しないって、どういうこと？ と思ったけど、CSR をそのままで、再発行すればそうなるかぁ。再発行で秘密鍵を作りなおさない人がいる、というのは盲点だった。

[iww]

当選者には連絡しているのかな。 それとも

[madarax11]

OpenSSL脆弱性対策の「致命的なミス」、秘密鍵を変更せず - ITmedia 総合記事一覧