OpenSSLで史上2度目の「致命的」レベルの脆弱性が発見される、2022年11月1日夜間に修正版がリリースされるため即更新を
OpenSSLに重大度「CRITICAL(致命的)」の脆弱(ぜいじゃく)性が発見されました。脆弱性への対応は迅速に行われており、日本時間の2022年11月1日22時～2022年11月2日4時の間に修正版の「OpenSSL 3.0.7」が公開予定です。OpenSSLに重大度「CRITICAL」の脆弱性が発見されたのは、2014年に報告されて世界中を騒がせた「Heartbleed」に続いて史上2回目。修正版のリリース後には、速やかにアップデートを適用する必要があります。【2022年11月2日追記】その後の分析の結果、OpenSSL 3.0.7で修正された脆弱性の重大度は「HIGH(CRITICALの1段階下)」に修正されました。 Forthcoming OpenSSL Releases https://mta.openssl.org/pipermail/openssl-announce/202
WebブラウザーでWebページにアクセスすると "DLG_FLAGS_INVALID_CA" "DLG_FLAGS_SEC_CERT_CN_INVALID" エラーが表示されページが表示できない (Windows Tips)
WebブラウザーでWebページにアクセスすると "DLG_FLAGS_INVALID_CA" "DLG_FLAGS_SEC_CERT_CN_INVALID" エラーが表示されページが表示できない - Windows Windowsで Webブラウザでページを表示すると、 "DLG_FLAGS_INVALID_CA" "DLG_FLAGS_SEC_CERT_CN_INVALID" エラーが表示され、ページが閲覧できない現象について紹介します。 現象 Windows の Internet Explorer や Microsoft EdgeでSSLに対応したWebページを表示すると、 "DLG_FLAGS_INVALID_CA" "DLG_FLAGS_SEC_CERT_CN_INVALID" エラーが表示されページが表示できません。 原因 SSLの証明書の証明機関がアクセスする端末で信頼されてい
CT （Certificate Transparency） ってなあに？ – CLARA ONLINE techblog
こんにちは、クララオンライン運用担当の担当Sです。 皆様は CT をご存じでしょうか？ このCTは Certificate Transparency の略でGoogle社より提唱されています。 RFC6962としてRFC化されている、証明書の誤発行を防ぐための技術です。 要は、過去有名なドメインの証明書の不正発行されたアレコレ(DigiNotar社の事件とか)に対しての技術だと思われます。 CTの仕組み 認証局から発行された証明書を「Certificate Logs （以下、ログサーバー）」に登録します。その際、「Signed Certificate Timestamp（以下、SCT）」というタイムスタンプがデータで返ってきます。 この監査ログサーバーは公開されているため、証明書登録や内容の閲覧は誰でも可能です。 CT 対応の PC ブラウザ（現時点ではGoogle Chromeくらいかと
マンションのLAN内のゲートウェイが中間者攻撃してくるお話 - Qiita
来歴 私は去年、とある賃貸マンションへ入居した。 インターネットは無料で利用可能、壁の端子にLANケーブルを挿すだけ。 ただ、この物件のインターネット回線がおかしい。1日に1回くらい、Webサイトを閲覧しようとしたときに、マンションの管理会社のホームページへリダイレクトされる現象が起きる。 イメージとしてはこんな感じ。 東京の天気が表示されるべきなのに、入居者用Webページのログイン画面へリダイレクトされる。 腹が立ったので今年の5月くらいに現象を調べ、原因がわかったことで満足していたが、重い腰を上げて結果を以下の記事にして公開する。改めてGoogle先生に聞いたら、同じことで悩んでいる人がいた。 自動リダイレクトの回避方法について。 http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q10165027165 なお、後述の図には
Comodo事件はどのようにして起こったのか？ - セキュリティは楽しいかね？ Part 1
先月、大手 CAの Comodoが外部からの攻撃によって、偽証明書を発行してしまうという事件が起こった。本記事では、この事件の問題点の整理、攻撃手法の詳細、改善策の状況などについてまとめたいと思う。 何が起こったのか？ Comodoは認証局(CA)を運用し、SSLで利用される公開鍵証明書の発行などを行っている大手プロバイダの一つ。security spaceの 2010年3月のマーケットシェア調査によると、9%程でシェア5位につけている。(ちなみに GeoTrust, GoDaddy, Verisignの上位3社で50%以上を占める、寡占業界である。) その Comodoが 3/23付けの自社ブログにおいて、登録局(RA)の一つが外部から侵入されて、不正なSSL証明書が発行されてしまったことを明らかにした。(侵入が起きたのは 3/15のこと。) SSL認証局が偽の証明書を発行、大手サイトに
sslh でport443 を有効活用して、sshもhttpsも同時に待ち受けする。 - それマグで！
443ポート以外が絶滅しそうです あちこちでポートは閉じられています。ssh や sftp もプロキシ利用も、各種ポートでは、全く外部に出れず、接続できないネットワークが多いです。 TCP/IPなのにIPとポートを使った通信ができない、壊れたネットワークが当然になりました。 これらの接続制限にとても不便を感じることが多いです。 サーバー管理者の気分一つでポートが空いたり閉じたり、私が触ってたネットワークではポリシーが統一されず、クソネットワーク管理者に振り回されて、動くはずのものが動かず、不便なことが多かったのです。そこで仕方なく４４３を使っています。 私達が利用する端末では80/443 のポートの外部接続が閉じられることは少なく、443であれば通信できます。 そのため、443ポートに様々なアプリケーションを起動していると思います。 443 ポートとIPアドレスが枯渇する・・・ よほどのG
理解してるつもりの SSL/TLS でも、もっと理解したら面白かった話 · けんごのお屋敷
apache や nginx の設定をしたことがあれば以下の様な行を見たことがある人も多いのではないでしょうか。(※ 下記は nginx の設定。apache の場合は SSLCipherSuite です。) ssl_ciphers AES128-SHA:AES256-SHA:RC4-SHA:DES-CBC3-SHA:RC4-MD5; これが暗号スイートを指定している箇所です。そしてこの部分、わけのわからない文字列の羅列なのですごく取っつきにくくて何を指定したらいいかわからないので、コピペしてしまう人も多いんじゃないでしょうか。かくいう私も数年前に趣味で TLS 対応の Web サービスを作った時はコピペで済ませていました。この暗号スイートは、以下のような OpenSSL のコマンドを使って対応している一覧を見ることができます。 $ openssl ciphers -v AES128-SH
DellのPCに不審なルート証明書、LenovoのSuperfishと同じ問題か
米DellのノートPCに不審なルート証明書がプリインストールされているのを見付けたというユーザーの報告が、11月22日ごろにかけて相次いだ。Lenovoのコンピュータで発覚した「Superfish」と同様に、偽の証明書発行に利用され、HTTPS通信に割り込む攻撃に悪用される恐れも指摘されている。 問題になっているのは、Dellのマシンにプリインストールされている自己署名ルート証明書の「eDellRoot」。同社の「Inspiron 5000」を購入したというジョエル・ナード氏は、セットアップの過程でこの証明書を発見。不審に思って調べたところ、eDellRootは信頼できるルート証明書とされ、使用期限は2039年、用途は「All」と記載されていたという。 さらに、「あなたはこの証明書に対応した秘密鍵を持っています」という記載を発見し、ナード氏の疑念は一層深まった。 Redditでこの問題を報
証明書の更新の際にCSRの再作成は必要でしょうか。 | SSL・電子証明書ならグローバルサイン
セキュリティ上長年同じ鍵を続けて利用するのは好ましくないため、新しい秘密鍵を作成の後、再度CSRをお作りいただくことをお勧めしております。 ホスティングをご利用の場合、ホスティング業者のポリシーによっては、CSRの生成を必須としている場合があります。詳しくはご契約のホスティング業者様にご確認ください。 Microsoft IISでは、WEBサーバの仕様によりCSRの生成が毎回必要になります。 音声ガイダンスが流れましたら、お問合わせの内容により以下の番号をプッシュしてください。 証明書のお申し込み、更新及びパスワードのお問い合わせ インストールなどの技術的なお問い合わせ 審査及び進捗確認に関するお問い合わせ その他のお問い合わせ（4を押した上で、以下の番号をお選びください。） お支払い、経理書類に関するお問い合わせ パートナー契約に関するお問い合わせ 総務へのご連絡
インターネットブラウザ「Google Chrome」利用時のホームページ一部閲覧不可について | ヤマト運輸
平成27年9月7日 お客様各位 いつもヤマト運輸をご利用いただきまして、ありがとうございます。 2015年9月1日にリリースされた「Google Chrome」Ver．45．0．2454以上をご利用のお客様が、弊社ホームページの一部ページにアクセスすると「SSLサーバーが古い可能性があります。」と表示され、閲覧ができない事象が発生しております。ご迷惑をおかけし、誠に申し訳ございません。 現在、弊社側の対応を進めてはおりますが、対応完了までの間、「Internet Explorer」、「Safari」またはAndroidの場合は「標準ブラウザ」からご覧いただきますようお願い申し上げます。 お問い合わせは、弊社サービスセンターまでお願いいたします。 （フリーダイヤル0120-01-9625 携帯電話からはナビダイヤル0570-200-000） 以上
Are there compatibility issues with SHA-2? | DigiCert FAQ
Streamlined Certificate Management and Automation: Delivering At-Scale Uptime and Availability
『証明書を無料で発行、HTTPSの導入を支援する「Let's Encrypt」』は何に使え、何に使えないのか - いろいろやってみるにっき
やっと、ついに、誰もが無料でHTTPSを使えるようになる！…MozillaやEFFが共同プロジェクトを立ち上げ - TechCrunchだが、ブコメ欄で「フィッシングサイトが見分けられなくなる」と勘違いしている向きがあるようなので、ちょっと書いておく。 このLet's Encryptだが、Let’s Encrypt: Delivering SSL/TLS Everywhereに説明が書かれている。そもそも上のTechCrunchの記事ではLet's Encryptがどういうものか分からない。この記事では何ができて何ができないかを書いていないし。 TechCrunchの記事はオレが見た時点(2014/11/20 5:00)ですごいブクマ数(792ユーザ)なんだけど、本体の説明のブクマ数は4ユーザ、オレがブックマークしたので5ユーザである。ちょっと調べてからコメントすればいいのに。 下記のほう
SSL3.0 徹底解剖！！！ 〜 なぜ POODLE に殺されたのか 〜 - もろず blog
©Copyright Yasuhiko Ito 10月の中旬ころに、google のセキュリティチームから POODLE という SSL3.0 の脆弱性が報告されたというニュースを見ました POODLE によって SSL3.0 の暗号通信が解読できることが実証されたので、今後 SSL3.0 は使わずに完全に捨てましょうという流れになっています 今回改めて調べてみると、SSL は過去にも CBC 暗号を使用した場合の脆弱性がいくつか報告されていました Padding Oracle 攻撃 (2002年) BEAST 攻撃 (2011年) Lucky Thirteen 攻撃 (2013年) これらの攻撃をなんとかしのいで生き残ってきた SSL3.0 でしたが、今回の POODLE が致命傷となってついに死んでしましました SSL3.0 の何がマズかったのか、どんな弱点があったのかを見ていきましょ
「SSL証明書無償配布」がもたらすWebの変革、企業ネットの管理にも影響
2015年の夏以降、Webアクセスの姿が大きく変わる可能性が出てきた。現在主に使われている「HTTP（HyperText Transfer Protocol）」の代わりに、SSL（Secure Sockets Layer）やTLS（Transport Layer Security）を用いて通信を暗号化する「HTTPS（HTTP over SSL/TLS）」を利用したWebサイトやサービスが一気に増えることが予想されるからだ。 なぜHTTPの代わりにHTTPSを使うWebサイトやサービスが増えるのか。それは、HTTPSを利用するために必要となる「SSLサーバー証明書」（以下SSL証明書）を誰でも無償かつ簡単に入手できるようになるからである。これまでは、年間数千円から数万円程度の料金をベンダーに支払ってSSL証明書を取得する必要があった。2015年夏以降、これがタダで“も”入手できるようになる
OCNがAPOPを廃止へ、多くの利用者が平文でパスワードを送信する事態に？ | スラド セキュリティ
OCNが提供しているメールサービス「OCNメール」で、セキュリティ強化を目的としてAPOPによる認証の廃止がアナウンスされた。このアナウンス自体は9月に行われたものなのだが、これによって多くの利用者が平文でネットワーク上にメールアカウントのパスワードを送信してしまう危険性があることが指摘されている（セキュリティ研究者・高木浩光氏によるTogetterまとめ）。 問題点について詳しくはTogetterまとめを参照してほしいが、パスワードを暗号化してやり取りするAPOPを廃止するいっぽうで、利用者にはその代替策となるはずのSSLを使った暗号化通信を「上級者向け」として説明しないどころか、あえてSSLを使用しない設定例を明示しているという点が指摘されている。 SSLを利用せず、POPでの接続を行った場合、パスワードが平文でネットワーク上を流れることになり、たとえば公衆無線LANなどからOCNメー
SSLv3脆弱性「POODLE」、TLSにも影響--グーグルの専門家が指摘
Googleに所属するSSL専門家のAdam Langley氏は米国時間12月8日、自身のブログで多くのTLS実装に対して警告を出した。以前明らかになった、SSLバージョン3（SSLv3）に影響する「POODLE（Padding Oracle On Downgraded Legacy Encryption）」攻撃と同じような攻撃につながる脆弱性を含んでいるという。 SSLv3は、CBCモードの暗号でデータのパディングを効果的に特定しない。そのため、ブロック暗号の整合性をきちんと確認できず、「パディングオラクル攻撃」を可能にしてしまう。SSLv3の後、仕様はTLSと改名され、バージョン1になった。TLSv1の変更点の1つとして、パディングオラクル攻撃を防ぐためのパディング処理を改善した。 だが、TLS実装でもパディングバイトのチェックは完全ではないという。多くのTLS実装がSSLv3ソフトウ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[CertCental]サーバ証明書 インストール手順
ニュース: OpenSSL 1.0.2f に含まれるセキュリティ修正について - Tera Term - OSDN
SSL のまとめ - SSLサーバ証明書 | シマンテック
日本を標的とした新たなオンライン銀行詐欺ツール、設定変更で認証情報を盗み出す 
