［1］オープンソースソフトウエアにも寿命がある | 日経 xTECH（クロステック）
既に死んでいるにもかかわらず町中を徘徊（はいかい）し、人間に危害を加えようとする怪物「ゾンビ」―。2014年。ソフトウエアとしての寿命が尽きた「ゾンビOSS」が世界中の情報システムを危機に陥れた。 「Javaアプリケーションフレームワーク『Struts 1』のセキュリティ脆弱性に対応するために、国税庁の確定申告サービスが停止」「暗号ソフト『OpenSSL』の『心臓出血（Heartbleed）』と呼ばれる脆弱性が攻撃されて、大手カード会社のWebサイトから個人情報が流出」―。2014年はOSS（オープンソースソフトウエア）の脆弱性が大きな注目を集めた年だった（図1）。 脆弱性が見つかるのは何もOSSに限った話ではない。「Windows」や「Adobe Flash」などソースコードが公開されていない「商用（プロプライエタリ）ソフトウエア」にも毎月のように脆弱性が見つかっている。 それでもStr
OpenSSLにはこんなに問題が! LibreSSL開発者が発表 - BSDCan2014
The OpenBSD project produces a FREE, multi-platform 4.4BSD-based UNIX-like operating system. OpenBSDプロジェクトの開発者でありLibreSSLの開発に携わっているBob Beck氏は5月17日(カナダ時間)、「BSDCan2014: LibreSSL」においてLibreSSLの開発がはじまってからのおおよそ30日間のできごとを伝えた。なぜOpenSSLからLibreSSLを派生させ別プロジェクトとして取り組むことにしたのか、具体的にどういった変更を実施したのかなどが説明された。プロジェクトを立ち上げるきっかけはHeartbleed脆弱性が決め手だったのではなく、そのあとに取り組んだ作業によって別プロジェクトにするという判断が決定的なものになったと説明があった。懸念された点は特に次のとおり。
Heartbleed bug による秘密鍵漏洩の現実性について – IIJ Security Diary
本稿では HeartBleed bug による秘密鍵漏洩の可能性を考察します。 OpenSSL で利用される RSA 秘密鍵のフォーマットは PKCS#1[1]Public-Key Cryptography Standards (PKCS) #1: RSA Cryptography Specifications Version 2.1 http://tools.ietf.org/html/rfc3447#section-3.2 で定められています。暗号化された暗号文の復号、もしくはデジタル署名を行う際に RSA の秘密鍵による操作が行われます。SSL/TLS サーバに https でアクセスした場合には、その両方の用途で秘密鍵が用いられます。そのため HSM などの仕組みが無い場合には秘密鍵がメモリ上に展開されている可能性が高いと言えます。実際 Cloudflare Challenge[2
heartbleedをiptablesで止めることについて - yasulib memo
前書き OpenSSLの脆弱性（CVE-2014-0160）が公開されました。 詳細はpiyokangoさんの素晴らしいまとめを参照してください。 OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた - piyolog エフセキュアブログにて、トーマツの岩井さんが書いた興味深い記事がありました。 エフセキュアブログ : Openssl Heartbleed 攻撃の検知について ＃根本的な対策ではなく、あくまで攻撃検知という意味で。 iptables log rules iptables -t filter -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT" iptables block rules i
OpenSSL の脆弱性 "Heartbleed" がヤバい？ - もろず blog
昨日、登録しているメーリングから OpenSSL の脆弱性に関しての情報が何通も届きました Webサーバーなどの脆弱性の情報が回ることは度々ありましたが、 何だか今回はいつもと様子が違うような感じがして、 これは相当なおおごとなんじゃ？？と思って調べてみました "OpenSSL 脆弱性" とかでググると、 パスワードが盗まれるとか、SSL証明書を更新しないとだめとか、 なんだかおどろおどろしい情報がたくさん出てきます 簡単に言うと今回の問題は OpenSSL の "Heartbleed" という脆弱性をついた攻撃らしいです(？) でも、これだけだと一体何がどれだけヤバいの？ というのがよくわからなかったので調べました この記事では、 1.OpenSSL とは 2.Heartbeat Extension ってなんでしょう 3.Heartbleed を利用した攻撃 4.結局、何がヤバいの？ 5
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ＯｐｅｎＳＳＬ:事前修正間に合わず 欠陥公表の舞台裏 - 毎日新聞
