9月末でLet's Encryptルート証明書が期限切れ、古い製品は要注意
人気の高いSSL証明書認証局であるLet's Encryptが使っているルート証明書の有効期限が近づいている。「IdentTrust DST Root CA X3」で認識されるこのルート証明書の有効期限は2021年9月30日、つまり今月いっぱいまでだ。古いルート証明書から新しいルート証明書への移行は完全に透過的だが、実際には過去に問題が発生している。特に古いソフトウェアを使っている場合は注意が必要だ。 IdentTrust DST Root CA X3 セキュリティ研究者であるScott Helme氏は9月21日(英国時間)、「Let's Encrypt's Root Certificate is expiring!」において、今月末でLet's Encryptが使用しているルート証明書が有効期限を迎えることを指摘するとともに、過去の事例などを引き合いにしてどのような問題発生が懸念されるか
Let's encryptとSSL/TLSに関する誤謬 - Chienomi
全く以て意味不明な誤謬がはびこっていた上に、やたら上から目線だったので、消火しておこうと思う。 そもそもSSL, TLSとは何か SSL/TLSは暗号化技術である。 SSL/TLSのデータ通信自体は対称暗号である。ただし、暗号化に利用する暗号鍵は使い捨てる。 Cipherはかなり色々使えるのだけど、だいたいはTriple DES (3DES)かAESが使われる。 その手順は <- HelloRequest -> ClientHello <- ServerHello <- ServerCertificate <- ServerKeyExchange <- ServerHelloDone -> ClientKeyExchange -> Finished -> ChangeCipherSpec <- Finished <- ChangeChiperSpec <-> Application Dat
Evolving Chrome's security indicators
$200K 1 10th birthday 4 abusive ads 1 abusive notifications 2 accessibility 3 ad blockers 1 ad blocking 2 advanced capabilities 1 android 2 anti abuse 1 anti-deception 1 background periodic sync 1 badging 1 benchmarks 1 beta 83 better ads standards 1 billing 1 birthday 4 blink 2 browser 2 browser interoperability 1 bundles 1 capabilities 6 capable web 1 cds 1 cds18 2 cds2018 1 chrome 35 chrome 81
TLS1.3はIoTデバイスに最適な暗号化技術、キヤノンITSがデモを披露
TLS1.3はIoTデバイスに最適な暗号化技術、キヤノンITSがデモを披露：ESEC2018＆IoT/M2M展 キヤノンITソリューションズ（以下、キヤノンITS）は、「第21回 組込みシステム開発技術展（ESEC2018）」（2018年5月9～11日、東京ビッグサイト）において、同年3月末に仕様が確定したTLS（Transport Layer Security）1.3のデモを披露した。 キヤノンITソリューションズ（以下、キヤノンITS）は、「第21回 組込みシステム開発技術展（ESEC2018）」（2018年5月9～11日、東京ビッグサイト）において、同年3月末に仕様が確定したTLS（Transport Layer Security）1.3のデモを披露した。 TLSは、インターネット上でデータを暗号化して送受信するためのプロトコルである。最新版のTLS1.3は、暗号処理などセキュリティ
2万3000件以上のSSL/TLS証明書の秘密鍵が電子メールでやりとりされたことが判明し、その全てが失効となる事態に
by Suzy Hazelwood SSL/TLS証明書の大手認証局であるDigiCertは2018年2月28日に、約2万3000件の証明書を即時失効したと発表しました。失効の理由は、証明書販売代理店のCEOが証明書の秘密鍵を電子メールで送信してしまったためとのことです。 DigiCert Statement on Trustico Certificate Revocation - DigiCert https://www.digicert.com/blog/digicert-statement-trustico-certificate-revocation/ インターネットが一般家庭に普及し、必要な買い物もインターネットでできるようになりました。その一方で、買い物をするために必要なクレジットカードや個人情報など、他人に知られたくないデータがインターネットを介してやり取りされることも増えた
EV証明書を使用して既知の企業になりすませる可能性が指摘される | スラド セキュリティ
EV証明書を使用して既知の企業になりすませる可能性をセキュリティリサーチャーのIan Carroll氏が指摘している(実証ページ兼解説記事、 Ars Technicaの記事)。 EV証明書では厳格な審査が行われるとされ、アドレスバーが緑色に変われば安心ともいわれるが、実際には会社を設立すれば比較的簡単に取得できてしまうという。Safariの場合、EV証明書を使用したWebページではアドレスバーにURLが表示されず、発行先の会社名のみが表示されるため、本物のWebサイトに似たフィッシング用のドメインを取得しなくてもユーザーがだまされる可能性もある。9月にセキュリティ専門家のJames Burton氏は「Identity Verified」という会社を設立して取得したEV証明書を使用し、Safariで安全なWebサイトがGoogleやPayPalのログイン情報を要求しているかのように見える例を
メモ：EV証明書でブラウザのURLバーを緑色にするのもうやめない？という話 - Technically, technophobic.
またSleeviさんがなんかぶっこんでいるのでメモ。 https://groups.google.com/d/msg/mozilla.dev.security.policy/szD2KBHfwl8/kWLDMfPhBgAJ 「EV証明書でもフィッシングサイトつくれるよ」という報告 2017年9月の記事。 EV証明書を取得するには実在の団体の登記が必要だけど、そんなものDark Webで買えるよね、と*1。 So what does an attacker do? Well they can purchase a valid stolen ID for a few pounds from the so called "Dark web" and just use, a service address as the address of the company and the director
TLS実装の脆弱性「ROBOT」が人気サイトなど多数に影響--19年前の問題が再浮上
Charlie Osborne （ZDNET.com） 翻訳校正： 矢倉美登里 吉武稔夫 （ガリレオ） 2017-12-14 13:37 FacebookやPayPalなど、特に人気が高い多くのウェブサイトやオンラインサービスが、1998年に発覚した脆弱性の影響を受けているという。 この脆弱性は約20年前にDaniel Bleichenbacher氏によって初めて発見された。今回あらためて表面化し、「ROBOT」と呼ばれている。 Hackmanitとルール大学ボーフムの研究者であるHanno Bock氏とJuraj Somorovsky氏、およびTripwire VERTのCraig Young氏によると、SSL（Secure Sockets Layer）サーバが生成するPKCS #1 v1.5のパディングエラーメッセージにより、「RSA暗号化と併用されるとTLSの機密性を完全に破る」適応
SSL証明書の有効期限確認に便利なツール「cert」 | DevelopersIO
こんにちは、コカコーラ大好きカジです。 「SSL証明書(サーバ証明書)の有効期限確認や証明書の種類を確認するのは面倒ですよね。」 OpensslのコマンドをGoogle検索して・・・というか、自分もそんな感じです。 同じな悩みを持った人いそうだなぁ・・・と思って調べたら解決していた人がいました。感謝です。 certとは SSL証明書(サーバ証明書)の情報取得ツールです。（MITライセンスです。） genkiroid/cert Cert is the Go tool to get SSL certificate information. 前提条件 MacOSXでの利用法を記載します。他のOSの場合は、Goが動作すれば動くようですので、上記URLのReadmeをご参照ください。 certのセットアップ brewを利用すれば簡単にインストールできます。 % brew tap genkiroid/
シマンテック、ウェブサイトのセキュリティとPKIソリューションの事業を売却へ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Symantecによるウェブサイトのセキュリティ事業は物議を醸してきているが、DigiCertへの売却が決定した結果、2018会計年度第3四半期中に新たな企業のもとで運営されることになった。 Symantecは現金で9億5000万ドルを受け取るとともに、手続き完了時にDigiCertの株式の30％を取得する。 Symantecはここ数カ月、同社のTransport Layer Security（TLS）証明書の信頼度を弱める手続きを開始しようとするGoogleとMozillaとの間で議論を続けてきている。Googleは先週、「Google Chrome 66」を2018年4月にリリースする際には、2016年6月1日よりも前に発行されたS
CDNでセキュリティ対策、サイトのTLS/SSL対応にも使える
CDN（Content Delivery Network）サービスを、ファイル配信以外の目的で導入する企業が増えている。その多くは、セキュリティなどの機能を追加するためだ。「動画などの配信事業は頭打ちだが、セキュリティ事業は大きく伸びている」（Jストリームの鍋島氏）という声もある。例えばアカマイの決算資料を見ると、2014年までトップだった動画配信事業の売り上げは、2015年にWebサーバーのセキュリティ機能などを提供する事業に逆転されている。 企業が主に追加する機能は、DDoS攻撃対策やTLS/SSL▼だ。既存のWebサーバーに手を加えずに導入できる。増加するサイバー攻撃に対して、手っ取り早く対応できるメリットが受けている。本パートでは、これらの機能が提供される仕組みや利用するメリット、利用時の注意点などを見ていこう。 物量型と負荷型の攻撃に備える まずは、DDoS攻撃対策だ。DDoS攻
Apache Struts 2の脆弱性がヤバい、外部からサーバコマンドを実行
Apache Struts 2の脆弱性がヤバい、外部からサーバコマンドを実行：セキュリティクラスタ まとめのまとめ 2017年3月版（1/4 ページ） 2017年3月、セキュリティクラスタが注目したのは簡単に外部からサーバコマンドを実行できる「Apache Struts 2」の脆弱性。Symantecの発行する電子証明書にも話題が集まりました。 2017年3月のセキュリティクラスタは大騒ぎ。誰でも簡単に外部からサーバコマンドを実行できる「Apache Struts 2」の脆弱性が公表されたことが原因です。案の定、この脆弱性を使用している多数のWebサイトが攻撃を受けてしまいました。1月に話題となった「東京都税 クレジットカードお支払サイト」と2度目の被害となった「JINS」の被害が特に大きく、たくさんの人が興味を持ち、ツイートしていました。 Symantecの発行するSSL証明書をGoog
Symantecが再びGoogleの信頼を失った件についてのメモ - Technically, technophobic.
（初めに言い訳しておくと、証明書界隈については詳しくないです。某誤訳量産サイトが適当な記事を書いていたので、なにか書かねばと思って書いているという程度のまとめ記事です。間違いなどあればご指摘ください） 何が起こるのか Ryan Sleeviさん（Googleの人）がBlink-devのメーリングリストに投稿したこれにまとまっています：https://groups.google.com/a/chromium.org/d/msg/blink-dev/eUAKwjihhBs/rpxMXjZHCQAJ 経緯についてはいったん飛ばして、どのようなアクションが提案されているのか見ます。 To restore confidence and security of our users, we propose the following steps: A reduction in the accepted
JVNTA#96603741: HTTPS 通信監視機器によるセキュリティ強度低下の問題
多くの組織で、マルウェア検知などの目的のために HTTPS 通信の監視を行うネットワーク機器が導入されています。 CERT/CC は 2015年3月のブログ記事 The Risks of SSL Inspection において、HTTPS 通信監視機器の導入によるセキュリティ上のトレードオフについて論じています。 HTTPS 通信監視機器を導入する場合、その製品が Transport Layer Security (TLS) の証明書検証を適切に行っていることを確認してください。TLS による適切な保護がなされない状態で通信が行われたり、検証失敗を示すエラーメッセージをクライアントアプリケーションに伝えなかったりする製品は、HTTPS で保護されるべき通信のセキュリティ強度を低下させます。 TLS やその前身である Secure Sockets Layer (SSL) は、クライアントとサ
POODLE（プードル）攻撃ってどんな攻撃？
サイバーセキュリティ分野における初の国家資格「情報処理安全確保支援士」制度が始まりました。資格試験の受験を検討している人も、そうでない人も過去問題にチャレンジしてみましょう。今回は、「POODLE（プードル）攻撃」についての問題です。 ア SSL 3.0のサーバプログラムの脆ぜい弱性を突く攻撃であり、サーバのメモリに不正アクセスして秘密鍵を窃取できる。 イ SSL 3.0を使用した通信において、ブロック暗号のCBCモード利用時の脆弱性を突く攻撃であり、パディングを悪用して暗号化通信の内容を解読できる。 ウ TLS 1.2のプロトコル仕様の脆弱性を突く攻撃であり、TLSの旧バージョンにダウングレードして暗号化通信の内容を解読できる。 エ TLS 1.2を使用した通信において、Diffie-Hellman鍵交換アルゴリズムの脆弱性を突く攻撃であり、交換されたセッション鍵を窃取して暗号化通信の内
Google、ルート証明書発行の独自インフラを構築
ルート認証局はGlobalSign R2とR4を取得した。これまでは、ルート証明書を製品に組み込んで、そうした製品に関連したバージョンが広範に導入されるのを待つ時間がかかっていたが、ルート認証局を取得したことで証明書をタイミング良く発行できるようになると見込んでいる。 下位認証局GIAG2の運営は今後も続ける方針で、ルート認証局の取得やTrust Servicesを通じて新しい独立したインフラへの移行を目指す。 今後はGoogle製品に接続する製品を開発する場合、Google Trust Servicesが運営するルート証明書が必要になる。ただしGoogleは独自のルート認証局を運営しながら、サードパーティーが運営するルートの下で下位認証局を運営する場合もあるとしている。 証明書を巡っては、認証局による不正な証明書の発行が発覚して主要ブラウザが対応を迫られたり、米Symantecの認証局が
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TechCrunch | Startup and Technology News
Chrome58になると自己署名の証明書がエラーになるので、OpenSSLに詳しくなった話 | Tech Blog | CRESCO Tech Blog
Symantec発行のSSL/TLS証明書、Google Chromeで段階的な期限短縮案 
JVN、HTTPS通信監視機器によるセキュリティ強度低下の問題について発表 - SecurityInsight | セキュリティインサイト