23,000 HTTPS certs will be axed in next 24 hours after private keys leak
Trustico, DigiCert come to blows as browsers prepare to snub Symantec-brand SSL Customers of HTTPS certificate reseller Trustico are reeling after being told their website security certs – as many as 23,000 – will be rendered useless within the next 24 hours. This is allegedly due to a security blunder in which the private keys for said certificates ended up in an email sent by Trustico. Those key
『OpenSSLクックブック』提供開始のお知らせ
ご来店ありがとうございます。 本日より、『プロフェッショナルSSL/TLS』（2017年3月発行）からスピンオフしたミニブック『OpenSSLクックブック』の提供を開始しました。購入ページからカートに追加していただくことで、どなたでも無償でダウンロードが可能です（クレジットカード情報は不要ですが、直販サイトの購入フローを経由する関係で、お名前の欄と住所の欄への入力はお願いいたします）。 同書は『プロフェッショナルSSL/TLS』の原書である‟Bulletproof SSL and TLS”からOpenSSLに関する章を抜き出して再編された‟OpenSSL Cookbook”の翻訳に相当し、『プロフェッショナルSSL/TLS』の「第11章 OpenSSL」と「第12章 OpenSSLによるテスト」加え、SSL Labsで公開されている ‟SSL/TLS Deployment Best Pra
やむを得ない場合の自己証明書と自己認証局によるSSLサイト構築 - dosandbox
2.証明局(CA)とサーバ証明書の作成 証明書は認可方式であり、外部の世界的に信頼のおける機関に審査してもらい証明書を発行してもらう必要があります。 この発行機関のことを認証局（CA:Certificate Authority）といいます。 認証局の中でもクライアントに初期バンドルされている最上位の認証局は ルート認証局（ルートCA） と言われ、 一般的にルート認証局から証明された 中間認証局（中間CA） が署名する形で証明書が発行されます。 ここではそれらを自己で模擬する形で、ルートCAを作成し、ルートCAが署名した中間CAを作成し、中間CAが署名したサーバ証明書を作成します。 ルートCAの作成 ルートCA用の設定ファイル（openssl_rca.cnf）を作成します。 cd /usr/local/ssl mkdir RCA cp openssl.cnf openssl_rca.cnf
GlassFish SSLの設定 (サーバ証明書の設定)
2010年2月5日 at 6:29 午後 ※ GlassFish で証明書の管理や鍵の管理を行う場合、 管理コンソールからは行えません．コマンドを使用してください． SSLの設定(サーバ認証の設定) クライアントのWebブラウザからサーバに対してSSL通信を行う場合，通常アプリケーションサーバの前段に配置するロードバランサもしくはリバースプロキシなどのシステムでSSL設定を行い，前段のシステムとアプリケーションサーバ間はSSLによる通信を行わない場合が多いです．しかしミッションクリティカルな環境では，前段のシステムとアプリケーションサーバ間もセキュアな通信路を確保する必要があリます．そのような場合，アプリケーションサーバ上でもSSLのサーバ証明書を設定する必要があります．ここでは前段のシステムからSSLで負荷分散されることを想定しクラスタ環境に対してSSLの設定を行う方法について紹介します
SSL-VPN入門 第1回 リモートアクセスとVPN : 富士通
これまでの連載 第1回 リモートアクセスとVPN 第2回 SSL-VPN の基本動作と実現方法その1(リバースプロキシ) 第3回 SSL-VPN の実現方法その2 (ポートフォワーディングとL2フォワーディング) 第4回 SSL-VPN のセキュリティ向上(認証とアクセス制御) 第1回 リモートアクセスとVPN リモートアクセスに対するセキュリティの脅威 パソコンやモバイル端末の普及に伴い、自宅や出張先から、いつでも企業のイントラネットにアクセスして、オフィスにいる時と同じように仕事をしたい、というリモートアクセスに対する要求が高まってきています。 これまでは、リモートアクセスのため、企業のイントラネットにRAS（Remote Access Server）を設置し、ダイヤルアップで接続する方法が使われてきました。しかし、この方法では利用者数や距離に応じてコストが高くなることや、回線
SSL 3.0に深刻な脆弱性「POODLE」見つかる Googleが対策を説明
米Googleのセキュリティチームは10月14日（現地時間）、SSL 3.0の深刻な脆弱性「POODLE」（Padding Oracle On Downgraded Legacy Encryptionの略でプードルと読む）の発見とその対策について発表した。 同社はPOODLEのセキュリティアドバイザリーもPDFで公開した。 SSL 3.0は15年前の古いバージョンではあるが、いまだにこのバージョンを使っているWebサイトが多数あるという。また、Webブラウザのほとんどは、HTTPSサーバのバグによりページに接続できない場合、SSL 3.0を含む旧版のプロトコルでリトライするという形でSSL 3.0もサポートしている。 この脆弱性を悪用すると、パスワードやクッキーにアクセスでき、Webサイト上のユーザーの個人情報を盗めるようになってしまうという。 Googleはシステム管理者はWebサイトの
ImperialViolet - POODLE attacks on SSLv3
My colleague, Bodo Möller, in collaboration with Thai Duong and Krzysztof Kotowicz (also Googlers), just posted details about a padding oracle attack against CBC-mode ciphers in SSLv3. This attack, called POODLE, is similar to the BEAST attack and also allows a network attacker to extract the plaintext of targeted parts of an SSL connection, usually cookie data. Unlike the BEAST attack, it doesn't
OpenSSLを教訓に。業界大手、オープンソース技術を支援
OpenSSL脆弱性のリスクを教訓に、大手IT企業が開発支援に乗り出す。Linux Foundationが発表した。 Linux Foundationは2014年4月24日、世界の情報インフラの中核をなすオープンソース技術を資金面で援助する「Core Infrastructure Initiative」の創設を発表した。SSL／TLS暗号化ライブラリ「OpenSSL」の脆弱（ぜいじゃく）性が深刻な影響を及ぼしている事態を教訓として、Amazon Web Services（AWS）やグーグル、マイクロソフトなどの大手がOpenSSLをはじめとする重要プロジェクトのセキュリティ対策をバックアップする。 同イニシアティブはAWS、シスコシステムズ、デル、フェイスブック、富士通、グーグル、IBM、インテル、マイクロソフト、ネットアップ、ラックスペース、ヴイエムウェアなどの大手が参加する数百万ドル規
OpenSSL Valhalla Rampage
Many thanks to all of the awesome hackers that have made this release possible. Again, if you like the work that OpenBSD is doing, please donate here Provide a ressl config function that explicitly clears keys. Now that ressl config takes copies of the keys passed to it, the keys need to be explicitly cleared. While this can be done by calling the appropriate functions with a NULL pointer, it is s
OpenSSLの脆弱性で初の被害、カナダや英国で発覚
カナダ歳入庁や英MumsnetはOpenSSLの脆弱性が発覚した直後に対応に乗り出したが、既に納税者情報やパスワードなどの情報が流出していた。 オープンソースのSSL/TLS実装「OpenSSL」に極めて重大な脆弱性が発覚した問題で、カナダ歳入庁は4月14日、何者かがこの脆弱性を悪用して、納税者約900人の社会保障番号を同庁のシステムから削除していたことが分かったと発表した。 また、育児情報サイトの英Mumsnetもこの問題を悪用され、ユーザーのアカウントに不正アクセスされていたことが分かったと発表した。OpenSSLの脆弱性は極めて広範に影響が及んでいるが、実際の被害が伝えられたのは初めて。 カナダ歳入庁の場合、4月8日に問題が発覚した時点でオンラインサービスを停止し、OpenSSLの脆弱性を修正。全システムの安全性を点検した上で13日にサービスを再開したが、この過程で納税者情報に対する
ハートブリード、原因は開発者のミス―「OpenSSL」は少数のボランティアに依存
This copy is for your personal, non-commercial use only. Distribution and use of this material are governed by our Subscriber Agreement and by copyright law. For non-personal use or to order multiple copies, please contact Dow Jones Reprints at 1-800-843-0008 or visit www.djreprints.com. http://jp.wsj.com/article/SB10001424052702303433504579501080000871574.html
OpenSSLの「Heartbleed」脆弱性は2年前から存在、「最悪のケースを想定して対処を」と専門家
OpenSSLの「Heartbleed」脆弱性は2年前から存在、「最悪のケースを想定して対処を」と専門家：チェック方法まとめ オープンソースのSSL/TLS実装「OpenSSL」に見つかった情報漏えいにつながる脆弱性の影響が拡大。専門家は「最悪のケース、つまり秘密鍵の漏えいを想定して対処すべき」と述べている。 オープンソースのSSL/TLS実装「OpenSSL」に見つかった情報漏えいにつながる脆弱性の影響が拡大している。OSやクラウドサービス、ネットワーク機器の中には、脆弱性のあるOpenSSLを利用しているものが多数あり、ベンダー各社が確認・対応を進めている。国内でもこの脆弱性の影響を受けるサイトが確認されており、中には一時的にサービスを停止し、対処を優先したサービスもある。 この脆弱性は、OpenSSL バージョン1.0.1／1.0.2系に存在する。Heartbeat拡張の実装に見つか
2013年4月9日 bindとopensslにセキュリティアドバイザリ | gihyo.jp
security 次の2つのセキュリティアドバイザリが発表されました。 FreeBSD-SA-13:04.bind FreeBSD-SA-13:03.openssl BIND remote denial of service named(8)が利用しているライブラリにバグがあり、外部から特定の文字列でアクセスされると、named(8)が大量のメモリを消費し、最終的にクラッシュするというバグがあることが明らかにされました。この問題はlibdnsに存在しているため、named(8)のみならず、libdnsをリンクして使っているdig(1)などのほかのソフトウェアにも影響があります。 問題を一時的に回避する方法はないとされており、セキュリティ脆弱性が修正された最新版へのアップグレードが推奨されています。 OpenSSL multiple vulnerabilities OCSPレスポンス検証の処
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SSLv3 Poodle Attack Check
