Google Chromeが「OpenSSL」の使用を中止。独自の「BoringSSL」へ : IT速報
1: ゆでたてのたまご ★ 2014/07/25(金) 13:10:59.95 ID:???.net 「Google Chrome」の(開発者向け)最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題を呼んだ。この脆弱性を突かれると、HTTPSを介して行われたクレジットカード決済の情報などのセキュアなメッセージの中身だけでなく、プライマリおよびセカンダリSSLキー自体も盗み見されてしまう可能性があった。 またその後、中間者(MitM)攻撃を可能にしてしまう別の脆弱性も見つかり、パッチが提供され
Android端末にHeartbleedの脆弱性があるかどうか診断する方法
Android端末にHeartbleedの脆弱性があるかどうか診断する方法2014.04.16 12:30 satomi ネット震撼のバグHeartbleedで情報盗まれたら堪らないのでサイトのパスワードは変えたけど、Androidはどうしたらいいの？ そんな人のために便利なツールが出ましたよ。 シマンテック（日本版）によると、大多数のブラウザはHTTPS実装でOpenSSLの暗号ライブラリを使っていないので被害はないとのことですが、Android OSはそうはいかないようです。Ars Technicaはこう書いてます。 一番ありえるシナリオは、罠を仕掛けたサイトに誘導してリクエスト強要（CSRF：Cross-site Request Forgery）したり、銀行や個人情報を扱うサイトが別タブで開いたりする攻撃だ。［…］実行が簡単なもので、脆弱性のあるAndroidブラウザに悪玉コマンドを
OpenSSL #heartbleed 脆弱性の影響とその後を考えるときのメモ - めもおきば
影響を受けたウェブサイトやソフトウェアの対応については、piyologさんの以下の記事に詳しいです。 オンライサービスや製品のHeartBleed(CVE-2014-0160)の影響についてまとめてみた OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた この記事では、それ以外の動きについてまとめていきます。先週の2つの記事と違い、あくまで個人的興味によるものです。 日本政府およびセキュリティ関連組織による情報公開 JPCERT/CC 2014-04-08 JPCERT-AT-2014-0013 OpenSSL の脆弱性に関する注意喚起 IPA 2014-04-08 OpenSSL の脆弱性対策について(CVE-2014-0160) 2014-04-16 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について 総務省 2014-04-15
OpenSSLの脆弱性で想定されるリスク - めもおきば
JVNやJPCERT/CCの記事があまりにもさらっと書かれていて、具体的なリスクが想像しづらいと思うので説明します。 今北産業 (今ニュース見て来たから三行で教えて欲しいという人向けのまとめ) インターネット上の「暗号化」に使われているOpenSSLというソフトウェアが2年間壊れていました。 このソフトウェアは便利なので、FacebookだとかYouTubeだとか、あちこちのウェブサイトで使っていました。 他の人の入力したIDとかパスワードとかクレカ番号とかを、悪い人が見ることができてしまいます。(実際に漏れてる例) 他にも色々漏れてますが、とりあえずエンジニア以外の人が覚えておくべきはここまででOKです。もう少し分かりやすい情報が以下にあります。 OpenSSL の脆弱性に対する、ウェブサイト利用者（一般ユーザ）の対応について まだ直っていないウェブサイトもあれば、元々壊れていないウェブ
CVE-2014-0160 OpenSSL Heartbleed 脆弱性まとめ - めもおきば
必要な情報は http://heartbleed.com/ にまとまっているのですが、英語だし長いしって人のために手短にまとめておきます。 どうすればいいのか OpenSSL 1.0.1〜1.0.1fを使っていなければセーフ あてはまる場合には、一刻も早くバージョンアップして、サーバごと再起動(わかるひとはサービス単位でもOK、ただしreloadではだめなことも) SSL証明書でサーバを公開しているなら、秘密鍵から作り直して証明書を再発行し、過去の証明書を失効させる(末尾に関連リンクあり)。 サーバを公開していない場合も、外部へのSSL通信があれば影響を受けるので、詳しく精査する。 PFS(perfect forward secrecy)を利用していない場合、過去の通信内容も復号される可能性があるため、詳しく精査する。 漏洩する情報の具体例は、OpenSSLの脆弱性で想定されるリスクとして
三菱UFJニコスがOpenSSLの脆弱性を突かれて不正アクセスを受けた件をまとめてみた - piyolog
三菱UFJニコスのWebサイトが不正アクセスを受け、会員情報が不正に閲覧されたと発表しました。ここでは関連する情報をまとめます。 概要 2014年4月11日に三菱UFJニコスが自社Webサイトで不正なアクセスを検知し、Webサイトを停止。その後詳細な調査結果として、4月18日に第3報を公開し、そこでOpenSSLの脆弱性(恐らくCVE-2014-0160)を悪用した不正アクセスであったことを報告。 三菱UFJニコスの不正アクセスに関連した発表 2014/4/11 弊社Webサイトへの不正アクセスについて(PDF) 2014/4/12 不正アクセスに伴い停止させていただいた弊社Webサービス再開のお知らせと会員様へのお願い(PDF) 2014/4/18 弊社会員専用WEBサービスへの不正アクセスにより一部のお客さま情報が不正閲覧された件(PDF) (1) 被害状況 不正閲覧会員数 894名(
オンライサービスや製品のHeartBleed(CVE-2014-0160)の影響についてまとめてみた - piyolog
HeartBleedの影響についての情報のまとめです。(OpenSSL情報集約のページに書いていましたが量が増えてメンテナンスが大変になってきたため別記事としました。) 「影響あり」は特に記載無い限り、修正版の公開、または対応が済んでいます。随時更新・修正しています。piyokangoが勝手にまとめているだけですので、リスト掲載の情報だけを鵜呑みにせずリンク先の情報を確認してください。また掲載されていない情報があれば、@piyokangoまで教えて頂けると嬉しいです。 1. OS 対象名 CVE-2014-0160の影響 対象製品・バージョン Windows 影響なし − OSX 影響なし − Android ●影響あり(修正版提供時期不明) 4.1.1 iOS 影響なし − BlackBerry(smartphone) 影響なし − RHEL ●影響あり(日本語) 6.5,7 Beta
OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた - piyolog
HeartBleed(CVE-2014-0160)関係のリンク集、自分のメモ用なので不正確です。 HeartBleedの影響対象となるOpenSSLバージョン 以下のバージョンが影響を受けます。但し、システムによっては原因となっているheartbeat機能が無効化されている場合もあるため、バージョンが一致しただけで当該脆弱性の影響を受けるかは確定しません。 (1) OpenSSL 1.0.1系 バージョン名 リリース時期 CVE-2014-0160 OpenSSL 1.0.1 2012/03/14 脆弱性あり OpenSSL 1.0.1a 2012/04/19 脆弱性あり OpenSSL 1.0.1b 2012/04/26 脆弱性あり OpenSSL 1.0.1c 2012/05/10 脆弱性あり OpenSSL 1.0.1d 2013/02/05 脆弱性あり OpenSSL 1.0.1e
OpenSSLの脆弱性問題には冷静な対応を
世界中のWebサイトに影響する可能性があるものの、利用者の多いWebサイトでは対応も進む。今回の問題に限らず、インターネットでは常にセキュリティへの意識を高めておくことが肝心だ。 オープンソースの暗号化ソフトウェアライブラリのOpenSSLに脆弱性が見つかった問題は、一般のニュースでも広く取り上げられるほど大きな話題になっている。問題発覚から1週間が経過し、利用者の多いWebサイトでは脆弱性対応が進んでいる。話題性に左右されず、冷静な対応が必要との意見も出ている。 この脆弱性は、OpenSSLのTSL拡張機能「Heartbeat」に起因するもので、脆弱性を悪用された場合に、通信の暗号化に必要な秘密鍵が盗まれ、第三者に情報が漏えいする可能性がある。基本的な対策はHeartbeatを使用しないか、脆弱性を修正したバージョン（OpenSSL 1.0.1g）への更新となる。 OpenSSLは特に暗
更新：OpenSSL の脆弱性対策について(CVE-2014-0160)：IPA 独立行政法人 情報処理推進機構
オープンソースの暗号通信ライブラリである OpenSSL に、情報漏えいの脆弱性が発見されました。 この脆弱性を悪用された場合、本来秘匿すべき情報（暗号通信の内容や、暗号に使う秘密鍵など）が漏えいする可能性があります。 一般利用者が知らないうちに、攻撃者はこの脆弱性を悪用してサーバのデータを窃取できます。その結果、たとえば以下のことが起こり得ます： 利用者が攻撃者になりすまされる可能性があります（攻撃者が利用者の ID やパスワードを窃取した場合） 攻撃者に暗号通信を解読される恐れがあります（攻撃者が秘密鍵を窃取した場合） 既に、当該脆弱性を悪用できる攻撃コードが公開されており、その攻撃コードを用いたと思われる通信も観測されているとの情報があるため、至急、対策を実施して下さい。 脆弱性の解消 The OpenSSL Project または OS ベンダ等から提供されているアップデート、修正
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11レベル？ | ニコニコニュース
サイトでクレジットカード番号入力しても鍵がかかるから大丈夫、という過去15年ぐらいの安心感を根底から覆すバグが検出され、世界各地でサイト管理者を震え上がらせています。それに伴い、カナダ政府は確定申告のサービスを緊急閉鎖しました。この件に関して、セキュリティの専門家Bruce Schneier氏（Co3社CTO兼EFF理事兼ハーバード大フェロー）は「壊滅的。10段階評価で考えると、これは11レベル」と青筋立てて叫んでいます。このように一国の公共サービスも停止させる重大なバグの名前は「Heartbleed」。血を吹く心臓という意味です。これの何がどう怖いのか、少し説明していきます。暗号鍵の握手アップルの脆弱性の時も出たように、ネットでセキュアな取引きができるのは暗号通信プロトコルの「Secure Sockets Layer （SSL）」とその弟分「Transport Layer Securit
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
人気サイトは“Heartbleed”パッチ済み、ただし以前に漏れた可能性も 
OpenSSLとDNSの件が相当にヤバい雰囲気になっております(山本一郎) - 個人 - Yahoo!ニュース
OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません(山本一郎) - 個人 - Yahoo!ニュース
スマホにも“Heartbleed”脆弱性、検査アプリをTrend Microが公開