SSL/TLSによって通信を暗号化しているHTTPSサイトに簡単に攻撃される脆弱性があることがセキュリティ研究者によって発表されました。この脆弱性をついた攻撃「DROWN」を受ける可能性があるサイトには、毎日新聞、任天堂、はてな、LINEなどの日本の大手サイトも含まれています。 DROWN: Breaking TLS using SSLv2.pdf (PDFファイル)https://drownattack.com/drown-attack-paper.pdf DROWN Attack https://drownattack.com/ 「Decrypting RSA with Obsolete and Weakened eNcryption(DROWN)」はSSLv2に含まれる脆弱性で、この脆弱性を悪用されるとクロスプロトコル攻撃によってTLSセッションの暗号化が解除(復号)されて通信が傍受

サーバー証明書（SSL/TLS証明書）の無料配布を目指すプロジェクト「Let's Encrypt」は米国時間2015年9月14日、最初の証明書を発行し、同プロジェクトのWebサイトに導入したことを明らかにした（写真1）。一般への提供開始は2～3カ月以内を予定。 Let's Encryptは、プライバシー団体の米電子フロンティア財団（EFF）やモジラ財団、米シスコシステムズ、米アカマイテクノロジーズが設立した公益法人「Internet Security Research Group（ISRG）」が運営するプロジェクト。 目的は、HTTPS（HTTP over SSL/TLS）通信に必要なサーバー証明書を無料で配布すること。ただし、Let's Encryptが発行するのは、データの暗号化のみを目的としたドメイン認証（DV：Domain Validation）の証明書。 ドメイン認証の証明書は、

絵で見て分かるネットワーク必修キーワード TCP（Transmission Control Protocol） 2024.01.01

Googleのセキュリティチームは米国時間10月14日、Secure Sockets Layer（SSL） 3.0に深刻なセキュリティ脆弱性があることを明らかにした。SSL 3.0はかなり前に導入された暗号化プロトコルでありながら、依然として多く使用されている。 同チームのBodo Möller氏によると、「この脆弱性により、セキュアな接続のプレーンテキストがネットワーク攻撃者によって割り出される恐れがある」という。 SSL 3.0はTLS 1.0、TLS 1.1、TLS 1.2に引き継がれてきたが、TLS実装の多くがレガシーシステムに対応し、ユーザーエクスペリエンスを円滑化するために、SSL 3.0との下位互換性を維持している。 通常、このセキュリティプロトコルのハンドシェークは、認証されたバージョンのネゴシエーションを行う。このようにして、クライアントとサーバの両方に共通する最新のプロ

重大な欠陥「ハートブリード（Ｈｅａｒｔｂｌｅｅｄ、心臓内出血）」が４月に発覚したばかりの暗号化ソフト「ＯｐｅｎＳＳＬ（オープン・エス・エス・エル）」で、悪意ある第三者に通信を盗み見られたり改ざんされたりする可能性がある欠陥が新たに見付かった。ソフトが公表された１９９８年以来、約１６年間も気付かれなかった珍しいケース。同ソフトの開発者は６月５日夜、ウェブサイトで修正版を公表し、対処を呼びかけている。 この欠陥は、セキュリティー企業レピダム（東京都渋谷区）シニアプログラマーの菊池正史氏が発見した。開発者が欠陥を公表するとすぐに、自社ウェブサイトに、発見の経緯や詳しい解説を載せた。菊池氏は毎日新聞の取材に「ＯｐｅｎＳＳＬのセキュリティー向上に貢献できてうれしい」と話した。

OpenSSLに再び脆弱性、MITM攻撃につながる恐れ：最初のリリースから16年間存在していた問題、修正版へのアップデートを推奨 オープンソースのSSL/TLS実装「OpenSSL」に、新たに複数の脆弱（ぜいじゃく）性が発見された。中にはMITM攻撃につながるおそれのある問題も含まれており、修正版0.9.8za／1.0.0m／1.0.1hへのアップグレードが呼び掛けられている。 オープンソースのSSL/TLS実装「OpenSSL」に、新たに複数の脆弱（ぜいじゃく）性が発見された。中にはMan-in-the-Middle（MITM）攻撃によって、暗号化通信の内容を第三者（＝攻撃者）が読み取ったり、改ざんしたりすることができる深刻な脆弱性も含まれている。 開発元のOpenSSLプロジェクトは米国時間の2014年6月5日、セキュリティアドバイザリを公開し、6つの問題を修正したバージョン0.9.8

セキュリティ・ベンダーのブログから、押さえておきたい話題を紹介する。今回は、なんといっても、オープンソースのSSL/TLS実装ライブラリー「OpenSSL」に見つかった情報漏えいの脆弱性「Heartbleed」関連だろう。4月7日に公表されて以降、メディアでも多数取り上げられている。セキュリティ・ブログにも関連の話題が多い。例えば米ウェブセンス、スロバキアのイーセット、トレンドマイクロなどだ。 ウェブセンスは、Heartbleedを悪用する現実的なシナリオについてブログで考察している。 Heartbleedを利用する攻撃は、他のいずれの組織的な攻撃とも同様に、脆弱なOpenSSLを実装しているサイトを探すことから始まる。すでにいくつものコンセプト実証（PoC）コードが広く出回っており、誰でも1行のコマンドラインとインターネット接続があればWebサーバーの探索を始められる。脆弱なWebサイト

The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトは「OpenOpenSSL」と呼ばれる新しい取り組みを開始した。OpenBSDプロジェクトは今回のOpenSSLのセキュリティ脆弱性(通称Heartbleed)を修正する取り組みを進めている間に別のバグも発見したとしており、抜本的にコードを作り替えるべきと判断。すでに初期段階のクリーンナップを実施しており、今後も積極的に開発を進める姿勢を示している。 「OpenOpenSSL」はOpenSSL風の暗号化システムとして開発が継続される見通し。執筆現在ではOpenOpenSSLのサイトは既存のコンテンツを流用した作りになっており、不自然な表記が見られるが、コミットログには作業の様子が残

シマンテックは2014年4月16日、OpenSSLの「Heartbleed（心臓出血）」脆弱性は、SSL通信を行うサーバーソフトだけではなく、クライアントソフトにも影響を与えるとして改めて注意を呼びかけた。悪質なSSLサーバーに接続すると、PCのメモリー上にある情報を盗まれる恐れがある。 今回の脆弱性の影響を受けるのは、主にサーバーだと考えられる。脆弱性のあるOpenSSLを使っているWebサーバーに対して、細工を施したデータを送信されるだけで、サーバーのメモリー上にある情報を盗み出される恐れがある（関連記事：OpenSSLで露見した脆弱性、「心臓出血」の影響はどこまで及ぶ） 具体的には、そのサーバーを利用する別のユーザーがやり取りしているデータやパスワード、そのサーバーが利用しているSSL証明書の秘密鍵といった重要な情報を盗まれる危険性がある。

データセクション株式会社（本社：東京都渋谷区 代表取締役社長：澤 博史 以下「データセクション」）と株式会社デジタルインテリジェンス（本社：東京都渋谷区 代表取締役：横山 隆治 以下「デジタルインテリジェンス」）は、特別協賛企業とともに、企業や公共組織の保有するビッグデータの先進的な利活用を目的として、企業間でのデータ共有について、実践的に情報交換と研究を行う「データエクスチェンジ・コンソーシアム」を設立しました。 1．「データエクスチェンジ・コンソーシアム」とは 本コンソーシアムはデータエクスチェンジ（企業間でデータの共有利用）を実践するための知見を共有するとともに、環境整備やガイドラインづくりに参画する場です。多様な事業者が、専門家の指導の下で研究会活動に参加して、データを共有し、分析や実証実験を行います。 主たる活動となる年６回の定期会合では、ビッグデータ分析の著名な専門家や学識者の

F5のサイト サポート ポータル F5製品およびサービスに関するセルフサービス ヘルプの記事 DevCentral 弊社主催のコミュニティでつながり、学ぶ My F5 サブスクリプションおよび登録キーの管理 Partner Central F5パートナーのためのリソースおよびサポート ポータル LearnF5 Learn to use F5 products F5へのお問い合わせ F5販売担当部へのお問い合わせ 詳しくは、F5の営業担当社にお問い合わせください F5サポートへのお問い合わせ お近くのサポート担当者にお問い合わせください プロフェッショナルサービスへのお問い合わせ F5ソリューションを最適化するためのサポートを受ける 無料トライアル 複数の環境にわたりアプリケーションの安全性、速度、信頼性を確保するこれらの製品を、無料でお試しください。 F5 Distributed Clou