TechCrunch | Startup and Technology NewsThe keynote will be focused on Apple’s software offerings and the developers that power them, including the latest versions of iOS, iPadOS, macOS, tvOS, visionOS and watchOS.
SSL 3.0に深刻な脆弱性が見つかる | スラド セキュリティ
Googleのセキュリティチームが、SSL 3.0に深刻な脆弱性が存在することを発見、その詳細について発表した（Google Online Security Blog、ITmedia、詳細について解説したPDF）。 この脆弱性は「POODLE」と呼ばれており、悪用するとパスワードやCookieに不正にアクセスできるという。対策としては、SSL 3.0の利用を停止することが挙げられている。 SSL 3.0は1995年に発表された技術であり、Netscape Navigator 2.0において実装されて以来、現在ではほぼすべてのWebブラウザで利用できるようになっている。とはいえ、現在ではより改良が進められたTLSがほとんどのWebブラウザで利用可能であり、SSL 3.0を積極的に利用する理由はない。そのため、ChromeではすでにSSL 3.0のサポートを廃止しており、またMozillaもF
PoodleAttack_20141015_J - 暗号プロトコル評価技術コンソーシアム CELLOS
[2014/10/15] SSLv3仕様そのものに対する POODLE attack について US時間2014年10月14日にGoogleの研究チームからSSLv3 [1] への新たな攻撃が公開されました [2]．POODLE attackと呼ばれる本手法はBEAST攻撃 [3] に類似した中間者攻撃でブラウザから大量のリクエストをサーバに送りつけることによるトライ＆エラーを繰り返すことでSSLで暗号された攻撃対象データを1バイトずつ復号することを可能にしています．現実的な攻撃としてはCookieの搾取が挙げられます．なお本手法は一見 TLS1.0 [4] にも適用可能であるかのように見えますが，SSL3.0とTLS1.0のパディング手法の違いによりTLS1.0では現実的な計算能力では適用できません． BEAST攻撃は SSL3.0およびTLS1.0 にて成功可能であり TLS1.1にて
OpenSSLの重大な脆弱性「Heartbleed問題」への対応に追われるネット業界 | スラド セキュリティ
OpenSSL 1.0.1/1.0.2系にて、秘密鍵などの漏えいにつながるバグが見つかったいわゆる「Heartbleed」問題を受けて、カナダ歳入庁が納税者情報の保護を目的に納税申告サイトを閉鎖した。同庁によれば、安全を期すための予備的なものだとしている（NETWORKWORLD、slashdot）。 また、個人納税者に対し申告期日の4月30日を過ぎた場合でも、オンラインサービスが中断していたのと同等時間分に関しては罰則は課せられない、という異例の発表も行われている。 そのほか、大手サイトでもこの問題を受けて対応が進められている。今回の問題の影響範囲は広く、Mashableの記事ではFacebookやInstagram、Pinterest、Tumblr、Google、Yahoo!（米国）などのサービスについて、ユーザーはパスワードを変更した方が良いとすすめている。ただ、Googleは「ユー
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11？
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11？2014.04.10 17:005,304 satomi サイトでクレジットカード番号入力しても鍵がかかるから大丈夫、という過去15年ぐらいの安心感を根底から覆すバグが検出され、世界各地でサイト管理者を震え上がらせています。 それに伴い、カナダ政府は確定申告のサービスを緊急閉鎖しました。この件に関して、セキュリティの専門家Bruce Schneier氏（Co3社CTO兼EFF理事兼ハーバード大フェロー）は｢壊滅的。10段階評価で考えると、これは11レベル｣と青筋立てて叫んでいます。 このように一国の公共サービスも停止させる重大なバグの名前は｢Heartbleed｣。血を吹く心臓という意味です。これの何がどう怖いのか、少し説明していきます。 暗号鍵の握手 アップルの脆弱性の時も出たように、ネットでセキュアな取引き
iOS7.0.6で修正された「最悪のセキュリティバグ」はありがちなコーディングミスで発生していた | スラド アップル
Appleが先日公開したiOS 7.0.6では、「過去最悪のセキュリティバグ」が修正されているという（アプリオ）。 SSL/TLSの不適切な扱いにより、データが暗号化されない場合があり、これにより通信内容が盗聴されるおそれがあるようだ。 現在利用中の環境にこのバグがあるかどうかは、gotofail.comというサイトで確認できる模様。 興味深いのが、このバグの要因とされているコードだ。SSLで使われる暗号鍵の検証を行うコードにバグがあったとのことなのだが、その途中で以下のように「goto」文が続いているミスがあったという（ImperialViolet - Apple's SSL/TLS bug）。 static OSStatus SSLVerifySignedServerKeyExchange(SSLContext *ctx, bool isRsa, SSLBuffer signedPar
Apple史上最悪のセキュリティバグか、iOSとOS XのSSL接続に危険すぎる脆弱性が発覚──原因はタイプミス？
Appleは21日、iOSのソフトウェアアップデート7.0.6をリリースした。 iOS 7.1が早ければ3月中旬にもリリースされるとみられていたが、SSL接続の検証に関して、半月以上も待つことができない重大なバグが見つかったためだ。 SSLとは、「ウェブサイトで入力する個人情報やクレジットカード情報などを暗号化し、安全に送受信する技術」（Symantec）だ。データを安全にやりとりするために利用されている非常に重要な技術となっている。 そして今回、クライアント（ユーザ側）とサーバ（ウェブサイト側）の間をSSL接続する際のプログラムに、「BASIC初心者でも一目で分かるようなミス」（Wired）が見つかり、修正されることになったようだ。ミスがあったのは、以下の部分。 Appleが公開しているソースコード 「goto fail;」が2行続けて記述されている箇所に注目してほしい。2行目の「got
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google、SSL 3.0の脆弱性「POODLE」を公表、SSL 3.0は今後サポート廃止の意向 
iOS 7.0.6で修正されたSafariのSSLバグが酷いと話題。（OS X 10.9 MavericksのSSLにも）