OpenSSLの更新版公開、「Logjam」対策を実装
「Logjam」と呼ばれるTLSプロトコルの脆弱性の悪用を防ぐ対策を実装したほか、6件の脆弱性が修正された。 OpenSSLのセキュリティアップデートが6月11日付で公開された。「Logjam」と呼ばれるTLSプロトコルの脆弱性の悪用を防ぐ対策などが盛り込まれている。 Logjamは過去の米政府の暗号輸出規制に起因する脆弱性で、攻撃者が中間者攻撃を仕掛けてTLS接続の暗号化方式を格下げさせ、通信の内容を傍受したり、改ざんしたりできる可能性が指摘されている。OpenSSLの更新版（1.0.2bおよび1.0.1n）ではこの脆弱性を突く攻撃を防ぐための仕組みを追加した。 他にも6件の脆弱性が修正されており、危険度はいずれも中～低レベルと評価されている。脆弱性が存在するのはOpenSSL 1.0.2、1.0.1、1.0.0、0.9.8の各バージョン。それぞれ1.0.2b、1.0.1n、1.0.0s
GoogleがOpenSSLをフォークした「BoringSSL」を公開 | スラド セキュリティ
GoogleがOpenSSLをフォークし、「BoringSSL」として公開した(ImperialVioletブログの記事、 Ars Technicaの記事、 本家/.)。 Googleは何年もの間、OpenSSLに数多くのパッチを当てて使用していたという。一部のパッチはOpenSSLのメインリポジトリに取り込まれたが、大半はAPIやABIの安定性の問題があるなどの理由で取り込まれていなかった。AndroidやChromeなどの製品はパッチの一部を必要とするが、パッチは70以上もあるために作業が複雑になっていたそうだ。そのため、OpenSSLをフォークして、OpenSSL側の変更をインポートする方式に変更したとしている。BoringSSLは近いうちにChromiumのリポジトリに追加される予定で、いずれAndroidや内部的にも使われるようになる。ただし、BoringSSLではAPIやABI
発見企業が語る、Heartbleedの残した「教訓」
「Heartbleed」脆弱性を発見した企業の1つが、フィンランドのセキュリティ企業、Codenomiconだ。同社の極東事業開発ディレクター、チャンギュウ・キム氏に経緯を聞いた。 OpenSSLに発見された「Heartbleed」の脆弱（ぜいじゃく）性を受けて、多くの企業がバージョンアップ、SSLサーバー証明書の失効処理および再発行、ユーザーへの呼び掛けといった対策を進めている。インターネット上のWebサイトを解析しているAlexa Internetがまとめている利用者数の多いWebサイトを示すリストを基にシマンテックが調査を行ったところ、上位1000サイトは既に対策済みで、上位5万サイトに範囲を広げても、脆弱なシステムは1.8％程度にまで減少しているということだ（関連記事）。 この脆弱性は、米グーグルと、フィンランドのセキュリティ企業であるCodenomiconがそれぞれ独自に発見した
OpenSSLの重大な脆弱性「Heartbleed問題」への対応に追われるネット業界 | スラド セキュリティ
OpenSSL 1.0.1/1.0.2系にて、秘密鍵などの漏えいにつながるバグが見つかったいわゆる「Heartbleed」問題を受けて、カナダ歳入庁が納税者情報の保護を目的に納税申告サイトを閉鎖した。同庁によれば、安全を期すための予備的なものだとしている（NETWORKWORLD、slashdot）。 また、個人納税者に対し申告期日の4月30日を過ぎた場合でも、オンラインサービスが中断していたのと同等時間分に関しては罰則は課せられない、という異例の発表も行われている。 そのほか、大手サイトでもこの問題を受けて対応が進められている。今回の問題の影響範囲は広く、Mashableの記事ではFacebookやInstagram、Pinterest、Tumblr、Google、Yahoo!（米国）などのサービスについて、ユーザーはパスワードを変更した方が良いとすすめている。ただ、Googleは「ユー
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11？
ネット史上最大級のバグ発見。カナダは確定申告を緊急停止、危険度は10段階の11？2014.04.10 17:005,304 satomi サイトでクレジットカード番号入力しても鍵がかかるから大丈夫、という過去15年ぐらいの安心感を根底から覆すバグが検出され、世界各地でサイト管理者を震え上がらせています。 それに伴い、カナダ政府は確定申告のサービスを緊急閉鎖しました。この件に関して、セキュリティの専門家Bruce Schneier氏（Co3社CTO兼EFF理事兼ハーバード大フェロー）は｢壊滅的。10段階評価で考えると、これは11レベル｣と青筋立てて叫んでいます。 このように一国の公共サービスも停止させる重大なバグの名前は｢Heartbleed｣。血を吹く心臓という意味です。これの何がどう怖いのか、少し説明していきます。 暗号鍵の握手 アップルの脆弱性の時も出たように、ネットでセキュアな取引き
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DeNA Engineering - DeNAエンジニアのポータルサイト
「わたしは不幸にも見逃した」：壊滅的バグ・Heartbleedを追加した人物へのインタヴュー