OpenSSL #ccsinjection Vulnerability
[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability 概要 OpenSSLのChangeCipherSpecメッセージの処理に欠陥が発見されました。 この脆弱性を悪用された場合、暗号通信の情報が漏えいする可能性があります。 サーバとクライアントの両方に影響があり、迅速な対応が求められます。 攻撃方法には充分な再現性があり、標的型攻撃等に利用される可能性は非常に高いと考えます。 対策 各ベンダから更新がリリースされると思われるので、それをインストールすることで対策できます。 （随時更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI 原因 OpenSSLのChangeCipherSpecメッセージの処理に発見
OpenSSLの脆弱性に関する解説と対応策 - GMOインターネットグループ株式会社
2014年4月7日の米国時間午後、非常に深刻な脆弱性"Heartbleed"と呼ばれるバグがOpenSSL（OpenSSL 1.0.1 - 1.0.1f及びOpenSSL 1.0.2-beta - 1.0.2-beta1）に発見され公表されました。 OpenSSLは、非常に広く使用されているオープンソースの暗号化ライブラリです。NginxまたはApacheの利用者は高確率でOpenSSLを稼働させており、悪意のある第三者がウェブサーバのメモリからデータを取得することが可能になるため、"Heartbleed"の脆弱性はOpenSSLのユーザが非常に深刻に受け止めるべき内容です。 本レポートでは、この脆弱性に関する解説と、実際の被害報告や対応策をご紹介します。
OpenSSLにはこんなに問題が! LibreSSL開発者が発表 - BSDCan2014
The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトの開発者でありLibreSSLの開発に携わっているBob Beck氏は5月17日(カナダ時間)、「BSDCan2014: LibreSSL」においてLibreSSLの開発がはじまってからのおおよそ30日間のできごとを伝えた。なぜOpenSSLからLibreSSLを派生させ別プロジェクトとして取り組むことにしたのか、具体的にどういった変更を実施したのかなどが説明された。プロジェクトを立ち上げるきっかけはHeartbleed脆弱性が決め手だったのではなく、そのあとに取り組んだ作業によって別プロジェクトにするという判断が決定的なものになったと説明があった。懸念された点は特に次のとおり。
「Heartbleed」問題の原因と対策--バージョンアップとSSL証明書の再発行を
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます さまざまなメディアで既報の通り 、オープンソースのSSL/TLS実装ライブラリ「OpenSSL」に重大な脆弱性が発見されました。これはSSL/TLSの暗号化によって保護されている情報が、特殊な環境下でなくても盗まれてしまう可能性がある脆弱性です。 この脆弱性は、本ライブラリのTLS 1.2に追加された拡張機能「Heartbeat」と呼ばれる「SSLの死活を監視する機能」の不備に起因することから、そしてもしかするとその重大さからか「Heartbleed（心臓出血）」と呼ばれるようになりました。 今回は、このHeartbleed脆弱性に関する問題をいったん整理してみようと思います。この脆弱性については、発見者であるフィンランドのセキュリティ
Heartbleed禍のOpenSSLは｢もはや修復不能｣。OpenBSDがフォーク版開発へ
Heartbleed禍のOpenSSLは｢もはや修復不能｣。OpenBSDがフォーク版開発へ2014.04.24 18:005,332 satomi サイトがじわじわ来ますね…。 OpenSSLのヘマでHeartbleedなんてバグができてしまい、コードを虱潰しに当たっていたテオ・デ・ラート氏率いるOpenBSDプロジェクトが｢こりゃ修復不能だ｣と判断、フォーク版｢LibreSSL｣の開発に乗り出しました。 Ars Technicaからのメール取材に対し、ラート氏はOpenSSLのダメっぷりをこのように書いています。 うちのグループでは1週間かけてOpenSSLのソースツリーのうち半分を削除した。どれも食い残しをそのまま散らかしてるみたいな不要なところさ。 オープンソースのモデルでは、コードがわかる人間が頼みだ。透明性が頼み。ところがこれがまったくクリアなコードベースじゃないわけよね。なぜ
OpenSSLで発見された”HeartBleed”バグの影響を受けるAndroidアプリをチェックできるスキャナーアプリ「Bluebox Heartbleed Scanner」がリリース | juggly.cn
先日オープンソースのSSL/TLSライブラリ「OpenSSL」で発見された”HeartBleed”と呼ばれるバグによる深刻な脆弱性の影響を受けるAndroidアプリをチェックできるスキャナーアプリ「Bluebox Heartbleed Scanner」がリリースされました。 “HeartBleed”バグとは、攻撃者がアプリのメモリから直接データを盗みとったり、インターネットを介して暗号化された通信を行なうために使用される秘密鍵を盗むことを可能にしてしまうOpenSSLの欠陥のことです。OpenSSLの提供元はこの脆弱性に対処した修正バージョンを提供しています。 今回リリースされた「Bluebox HeartBeats Scanner」は、Android OSとAndroidアプリをスキャンしてこの脆弱性を含むOpenSSL（OpenSSL 1.0.1～1.0.1f）を使用しているのかどうか
Android 4.1.1と4.2.2搭載端末の一部にHeartbleedの影響を受ける可能性があると判明
by snoopsmaus 2012年から存在し、2014年になって存在が明らかになったOpenSSLのバグ「Heartbleed」の影響を受けるサイトは約50万にも上ると見られています。一方で、Android 4.1.1やAndroid 4.2.2の一部など、Android端末の中にも脆弱性の影響を受ける可能性のあるものがあることがわかりました。また、その他の端末も気をつけておく必要があります。 Heartbleed disclosure timeline: who knew what and when http://www.smh.com.au/it-pro/security-it/heartbleed-disclosure-timeline-who-knew-what-and-when-20140414-zqurk.html Vicious Heartbleed bug bites
OpenBSDがOpenSSLの大掃除に着手、「OpenOpenSSL」サイトも立ち上がる | スラド オープンソース
OpenBSDがOpenSSLの大掃除に着手しています（slashdot）。 たとえばlibssl/src/sslを見ると、CVSに罵倒と修正がひっきりなしに記録されています。 Heatbleed対策のパッチだけで満足しなかった理由は、彼らから見てHeartbleedが単なるバグや仕様の問題ではなく、セキュリティ意識の問題から産まれたものだからです。 何年も前から 「OpenSSL はサルが書いてるんだろう」と揶揄していたとおり、OpenSSL コードの品質が低いことをOpenBSD開発者たちは知っていましたが、それが意識や責任感の問題だという確信はまだなかったのかもしれません。 OpenBSD にはメモリ防護機構がありますので、Heartbleed脆弱性があっても当初、malloc.confにJオプションを付ければfree済みメモリはシュレッダーにかけられ秘密は漏れないだろうと思ったそう
Heartbleedでついに逮捕者。カナダ政府サイトから納税者情報が盗まれる
Heartbleedでついに逮捕者。カナダ政府サイトから納税者情報が盗まれる2014.04.17 19:00 福田ミホ でも多分、氷山の一角。 多くのサイトで使われているOpenSSLに見つかった巨大バグ、Heartbleedを使った犯罪がついに発覚しました。カナダの19歳男性がHeartbleedを悪用してカナダ政府のサイトから納税者情報を盗み出していたんです。これは、Heartbleed関連では初の逮捕者となります。 カナダ歳入庁によれば、 Stephen Solis-Reyes容疑者はHeartbleedの脆弱性を突いて社会保険番号を少なくとも900件盗み出しています。同庁ではこれを盗みとして扱うかどうかまだ決めていませんが、現時点ではコンピューターの不正利用とデータに関する器物損壊を逮捕理由としています。 Heartbleedを使った攻撃といっても、仕組み的に言ってそんな攻撃だけを
Android端末にHeartbleedの脆弱性があるかどうか診断する方法
Android端末にHeartbleedの脆弱性があるかどうか診断する方法2014.04.16 12:30 satomi ネット震撼のバグHeartbleedで情報盗まれたら堪らないのでサイトのパスワードは変えたけど、Androidはどうしたらいいの？ そんな人のために便利なツールが出ましたよ。 シマンテック（日本版）によると、大多数のブラウザはHTTPS実装でOpenSSLの暗号ライブラリを使っていないので被害はないとのことですが、Android OSはそうはいかないようです。Ars Technicaはこう書いてます。 一番ありえるシナリオは、罠を仕掛けたサイトに誘導してリクエスト強要（CSRF：Cross-site Request Forgery）したり、銀行や個人情報を扱うサイトが別タブで開いたりする攻撃だ。［…］実行が簡単なもので、脆弱性のあるAndroidブラウザに悪玉コマンドを
Heartbleed bug による秘密鍵漏洩の現実性について – IIJ Security Diary
本稿では HeartBleed bug による秘密鍵漏洩の可能性を考察します。 OpenSSL で利用される RSA 秘密鍵のフォーマットは PKCS#1[1]Public-Key Cryptography Standards (PKCS) #1: RSA Cryptography Specifications Version 2.1 http://tools.ietf.org/html/rfc3447#section-3.2 で定められています。暗号化された暗号文の復号、もしくはデジタル署名を行う際に RSA の秘密鍵による操作が行われます。SSL/TLS サーバに https でアクセスした場合には、その両方の用途で秘密鍵が用いられます。そのため HSM などの仕組みが無い場合には秘密鍵がメモリ上に展開されている可能性が高いと言えます。実際 Cloudflare Challenge[2
なぜTheo de RaadtはIETFに激怒しているのか
本の虫: OpenBSD、怒りのコミットで、OpenBSDのTheo de RaadtがIETFに対して激怒している。 src/lib/libssl/ssl/Makefile - view - 1.29 SegglemannのRFC520 heatbeatを無効化。 あのまともなプロトコルひとつ制定できないIETFの無能集団が、超重要なプロトコルで64Kの穴をこしらえるとか、マジであきれてものも言えねーわ。奴らはマジこの問題を本気で検証すべきだろ。なんでこんなことをしでかしたのか。こんな事態を承認した責任ある連中を全員、意思決定プロセスから取り除く必要がある。IETF、てめーは信用なんねぇ。 なぜTheo de Raadtは、OpenSSLではなく、IETFに対して激怒しているのか。IETFというのは、インターネット上の規格制定の団体である。今回、世上を騒がせているHeartbeat問題は
ハートブリード、原因は開発者のミス―「OpenSSL」は少数のボランティアに依存
This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702303433504579501080000871574.html
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
脆弱性診断・セキュリティ対策のGMOサイバーセキュリティ byイエラエ
OpenSSLの新たな脆弱性 CCS Injection が発見される
TechCrunch | Startup and Technology News
スマホにも“Heartbleed”脆弱性、検査アプリをTrend Microが公開 
“Heartbleed”問題への対策が施された「WinSCP」v5.5.3が公開
OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません(山本一郎) - 個人 - Yahoo!ニュース
DeNA Engineering - DeNAエンジニアのポータルサイト
