自堕落な技術者の日記 : POODLE攻撃について本当にTLSv1.0なら安全なのか？ - livedoor Blog（ブログ）
基本は喰ってるか飲んでるかですが、よく趣味でカラオケ・PKI・署名・認証・プログラミング・情報セキュリティをやっています。旅好き。テレビ好きで芸能通 POODLE攻撃は、運用泣かせというか、SSLv3のサポートを本当に切っちゃっていいのか、レガシークライアントについて対応するのがいいのか、悩む所ですよね。ShellShock騒ぎさえまだうちでは収束していないのに・・・ POODLE攻撃は、「SSLv3の問題であってTLSv1.0以上では(パディングの方法が違うので)影響が無い」とされていますが、nahiさんからコメントもらって「実装依存だけどTLSv1.0でも危険な実装があるんじゃないの？」ということで、その事を書いてみたいと思います。 今回のPOODLE攻撃については、何が問題でどのようにすれば攻撃できるのかという、詳しい図入りの素晴らしく判りやすい解説をモバゲーさんが 「SSL v3.
テスト駆動開発（TDD）はもう終わっているのか？ Part 1 | POSTD
後編を公開しました（2014/10/8） これは、テスト駆動開発（TDD）とTDDがソフトウェア設計に与える影響についてKent Beck、David Heinemeier Hansson、および著者の3人で行った一連のディスカッションの議事録です。 ディスカッションに至った経緯 あるセンセーショナルな発言とブログ記事が発端となり、お互いの見解と経験について理解を深める目的で、話し合いが持たれました。 この会話のきっかけとなったのは、 DavidがRailsConfで行った基調演説です。 彼はRailsコミュニティでTDDおよびユニットテストへの不満を表明しました。 程なくして、彼はいくつかのブログ記事を公開しましたが、そのうちの最初の記事で “TDDは終わった” と宣言したのです。 それから2～3日後、Davidのその後の記事について私がタイプミスの修正を送ったところ、 Davidは彼の
Critical crypto bug leaves Linux, hundreds of apps open to eavesdropping
Critical crypto bug leaves Linux, hundreds of apps open to eavesdropping This GnuTLS bug is worse than the big Apple "goto fail" bug patched last week. Hundreds of open source packages, including the Red Hat, Ubuntu, and Debian distributions of Linux, are susceptible to attacks that circumvent the most widely used technology to prevent eavesdropping on the Internet, thanks to an extremely critical
RHEL5/CentOS5でGlobalSignのルート証明書が有効期限切れで大騒ぎ
こんにちは。CTOの馬場です。 昨晩1/28 21:00JSTにRHEL5/CentOS5にインストールされているルート証明書のうち、GlobalSignの有効期限が切れました。 伴ってREHL5/CentOS5からのHTTPS(SSL)接続にてGlobalSignの証明書を使っているサイトへの接続がエラーになるようになりました。 私の確認している範囲では、 curlコマンドやPHPのcurlライブラリなどでの接続時に接続エラーとなることに起因して以下のような影響が出ています。 ※接続される側ではなくて、接続する側での問題です※ oauthなどの外部認証が不可 決済などの外部連携が不可 対策 RHEL5の場合、errataが公開されているのでupdateしましょう。 Red Hat Customer Portal https://rhn.redhat.com/errata/RHEA-201
無料のSSL証明書StartSSLを活用する - Qiita
背景 自前のサービスでhttps通信をサポートするには、SSL証明書が必要になります。 自分で使用するだけなら、SSL証明書も自前で作成するいわゆるオレオレ証明書を用いても良いのですが、外部に公開するサービスの場合そうとも行きません。 SSL証明書というと値段が高い印象がありましたが、StartSSLというサービスで無料でSSL証明書の発行を受けられると言うことで試してみました。 StartSSLにユーザー登録する 証明書の発行を行う前に、StartSSLにユーザー登録する必要があります。 StartSSLから、"StartSSL Free (Class1)"を選択します。 Certificate Control Panelを選択。 Sign-upに進みます。 名前、住所、メールアドレスなど 個人情報の登録を行います。 登録したメールアドレスに本人確認のメールが届くので、受信したメールのa
NICTが脆弱なSSLサーバの検出システム「XPIA」を開発、分布を特定
NICTが脆弱なSSLサーバの検出システム「XPIA」を開発、分布を特定：「共通の秘密鍵」を生み出さない、適切な乱数生成モジュールの利用を 情報通信研究機構（NICT）は2013年10月22日、Secure Socket Layer（SSL）の脆弱性を検証するシステム「XPIA」を開発したことを明らかにした。 情報通信研究機構（NICT）は2013年10月22日、Secure Socket Layer（SSL）の脆弱性を検証するシステム「X.509 certificate Public-key Investigation and Analysis system（XPIA）」を開発したことを明らかにした。 XPIAは、SSLサーバが暗号化通信に利用しているX.509電子証明書からRSA公開鍵の情報を抽出し、脆弱性が存在しないかどうかを検証するシステムだ。XPIAでは、共通の秘密鍵を有しており
VMWare上のLinuxで，Apacheに自己署名のSSL通信をさせるための手順 （オレオレ証明書で，仮想マシン上のWebサーバにHTTPS接続） - 主に言語とシステム開発に関して
Apache Webサーバとの間で，SSLによる「暗号化された通信」を行なう。 サーバにアクセスする際のURLは，https://〜〜 になる。 そのための環境構築の方法をメモした手順書。 暗号化のためのサーバ証明書は，自前で生成する。（＝オレオレ証明書） また，通信の内容が暗号化されている様子を，パケットキャプチャによって直に目で見て，安全性を確認する。 （１）仮想マシンのLinux上にApacheを導入 （２）暗号化されていないHTTP通信を「盗聴」可能であることの確認 （３）SSLパッケージの準備 （４）秘密鍵を生成 （５）自己署名によるサーバ証明書の作成 （６）ApacheにHTTPS通信の設定を実施 （７）暗号化されているHTTPS通信を「盗聴」不可能であることの確認 ここで，ApacheはLinux（CentOS）上で動作しており，LinuxはVMWare Server上の仮想
スマートフォンアプリケーションでSSLを使わないのは脆弱性か
このエントリでは、スマートフォンアプリケーションの通信暗号化の必要性について議論します。 はじめに 先日、スマートフォンアプリケーションのセキュリティに関するセミナーを聴講しました（2月8日追記。講演者からの依頼によりセミナーのサイトへのリンクをもうけました）。この際に、スマートフォンアプリケーションの脅威に対する共通認識がまだないという課題を改めて感じました。その課題を痛感できたという点で、セミナーは私にとっては有益でした。 このため、当ブログではスマートフォンアプリケーションの話題をあまり取り上げていませんでしたが、今後は、とりあげようと思います。まずは、スマートフォンアプリケーションでは暗号化を必須とするべきかという話題です。この話題は、前記セミナーでもとりあげられていました。 暗号化の目的は何か まず、暗号化の必要性を論じるためには、暗号化の目的を明確にする必要があります。前記セミ
Counter SSL Proxyオプション - ネットワーク監視、証拠保全システム「PacketBlackHole」｜ネットエージェント株式会社
PacketBlackHoleおよび関連商品の販売終了のお知らせ 平素はネットエージェント株式会社の製品をご利用いただきまして、誠にありがとうございます。 2000年より販売してまいりました「PacketBlackHole」および関連商品につきまして、2019年3月末日をもちまして新規の販売を終了させて頂くことをご案内申し上げます。 長らくのご愛顧、誠にありがとうございました。 出荷終了対象製品はリプレイス導入、機器買い替えを含む全ての新規ライセンス及びハードウェア製品となり、継続ライセンスおよびハードウェア保守につきましては2023年3月まで販売いたします。 現在ご利用の製品につきましては引き続きご利用可能です。 また、アプライアンス製品およびソフトウェア製品の保守サポートは2024年3月末日まで継続いたしますので、引き続き製品をご利用いただきたくお願い申し上げます。 販売終了に伴いご不
yet2come: BlackHatで発表された攻撃手法(sslstrip)について
昨日Black Hatで「New Tricks For Defeating SSL in Practice」という発表がありました。海外のメディアでは、あまり適切でないタイトルで記事になっているところも見受けられます。 Website danger as hacker breaks SSL encryption(ITpro.co.uk) Black Hat : Hacking SSL with sslstrip(internetnews.com) タイトルだけ読むと、まるでSSLが解読されたかのような印象を受けるのですが、結論から言えば、実際に紹介されている手法としては中間者攻撃(man-in-the-middle attack)の応用です。プレゼンのスライドはこちら。 ＃さきほど、ビデオも公開されたようなので、ご興味のあるかたはどうぞ さて実は、このMoxie Marlinspikeさ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DeNA Engineering - DeNAエンジニアのポータルサイト
ネットワークマガジン - Network Magagine - 徹底比較 SSLサーバ証明書の「値段」と「品質」