不正SSL証明書の発行事件で「犯人」が手口公表

SSL認証局Comodoに対するハッキング攻撃を仕掛けたとする人物が名乗り出て、犯行の手口などを明らかにしたという。 SSL認証局のComodoから大手サイト用の不正なSSL証明書が発行されていた問題で、この攻撃を仕掛けたとする人物が名乗り出て、犯行の手口などを明らかにしたと、セキュリティ企業の英Sophosがブログで伝えた。 Sophosによると、問題の人物は当初SSLのルート認証システムをハッキングする目的でRSAアルゴリズムを破ろうとしたが、この過程でComodoのパートナーである「GlobalTrust.it」「InstantSSL.it」のハッキングに成功したと称している。 さらに、InstantSSL.itが証明書署名リクエスト（CSR）提出用のサイトに使っているDLLを見つけ、このDLLを解析する過程で、テキスト形式のユーザー名とパスワードがCSR提出プロセスの一部に使われて

[indigoblau]

|エ)･`)やるなｗ

[kamei_rio]

「行き着くところは安全でないパスワードの問題と、パスワードの取り扱い技術の問題だ」 暗号技術が可哀想

[bluegale]

RSAアルゴリズムを破るのと GlobalTrust.it, InstantSSL.it へのクラックは違うものだと思うんですけど…。

[mkusunok]

PKIのスキームや暗号に対しては専門家がセキュリティ・レビューしているが、認証局の実装まではレビューが不十分なのか

[hiroomi]

「行き着くところは安全でないパスワードの問題と、パスワードの取り扱い技術の問題だ」と解説

[jt_noSke]

ふーむ

[JULY]

「DLLを解析する過程で、テキスト形式のユーザー名とパスワードがCSR提出プロセスの一部に使われているのを発見。」ダメだって、プログラムに埋めこんじゃ。

[Surgo]

平文パスワード・・・？ -> 不正SSL証明書の発行事件で「犯人」が手口公表 - ITmedia News

[sin_cos]

変態すぎる・・・