tksmdのブックマーク / 2013年10月3日

tksmd id:tksmd

2013年10月3日のブックマーク (5件)

BEAST攻撃はクライアント側対策で解決するのか
SSLサーバー設定のテスト目的で使っている人も多いと思う Qualus Security Labsの記事 https://community.qualys.com/blogs/securitylabs/2013/09/10/is-beast-still-a-threat で、SSL CheckerからBEAST脆弱性の判定(TLS1.0以下でCBCモードを使っている)を外す、というのが有ったのでメモ。 BEASTは成功すると数分から数十秒程度でクライアントのセッションが解読されるため、非常に危険なものと考えられている（orた）。 TLSv1.0以前ののCBCモードでは、セッションを再利用してリクエストを送る際、最後に送信された暗号ブロックが、次のHTTPリクエストの最初のブロックのIVとして使われている。攻撃者が送信済みの最後の暗号ブロックを傍受した後で、リクエストの先頭ブロックにあたる平
tksmd 2013/10/03
BEAST

Security
リンク
BEAST/SSLの脆弱性を突く「BEAST攻撃」って何だ？｜デジ・ステーション｜J-Net21[中小企業ビジネス支援サイト]
日々進歩するIT 技術は、ともすると取り残されてしまいそうな勢いで進化の速度を高めています。そこでキーマンズネット編集部がお届けするのが「5分でわかる最新キーワード解説」。このコーナーを読めば、最新IT事情がスラスラ読み解けるようになることうけあい。忙しいアナタもサラっと読めてタメになる、そんなコーナーを目指します。今回のテーマ、「BEAST攻撃」は、Webでのセキュアな通信を支える暗号化通信の基盤技術であるSSL/TLSの脆弱性を利用して、通信の盗聴とアカウントの乗っ取りを実現してしまう高度な攻撃方法。インターネットの商業利用の信頼性を揺るがす危険性を秘めており、全世界が緊張を高めた攻撃手法です！ 1.SSL/TLSの脆弱性を突く「BEAST」とは？「BEAST」とは「Browser Exploit Against SSL/TLS」の略で、Juliano Rizzo氏とThai Duon
tksmd 2013/10/03
Security
リンク
SSL/TLSでBEASTを恐れてRC4を優先するのは危ない - Tetsu=TaLowの雑記（はてブロ版）
前職のお仕事で電子政府推奨暗号リストの改定作業を行う暗号技術検討会の事務局をやってたのですが、それ関係の話。3/1付けで電子政府推奨暗号リストあらためCRYPTREC暗号リストが公表されたのですが… 電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）に対する意見募集の結果今回の改定では、電子政府で広く使われているがすでに危殆化が始まっているものを「運用監視暗号リスト」にするということが行われたのですが、今回その扱いにされた暗号のうち代表的なものがストリーム暗号RC4です。この件、もう少し大きな話題になってもいいと思うのですが… 残った国産暗号はCamelliaとKCipher-2　他は消えたのではなく推奨候補暗号リストになった　今回のハイライトの一つはRC4の運用監視暗号リスト行きだと思うのだけど昨日のシンポジウムでは意外と話題にならなかったな / “1…”
tksmd 2013/10/03
Security
リンク
ApacheのSSLCipherSuiteにRC4を設定すべきではない - Qiita
Apacheに限らないが、暗号化方式としてRC4暗号が最優先に設定されていることがままある。これは必ずしもいいとは言えない・・・ので、その理由をまとめてみた。そもそもRC4がよく設定されているのには理由がある。過去BEASTという攻撃方法が発見されCBC暗号(Cipher Block Chaining：一定の長さごとに暗号化を行う方式)は全部危ない！？という感じになった。そこで登場したのがストリーム暗号の代表格RC4であり、これに設定すればＯＫ、という流れが今にも至っているのだ。 BEAST攻撃についてただ当時とは状況が変わり、RC4を設定するのが最適とは言えなくなってきた。理由1 RC4は非推奨となったまず有権者に訴えたいのは、現在RC4は脆弱性が発見され、「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」にて推奨されない運用監視暗号の対象に
tksmd 2013/10/03
Security
リンク
Cacoo、Backlogなど世界中で使われるサービスを次々と生み出すエンジニア集団「ヌーラボ」の全貌 | Hitch Blog
縣俊貴株式会社ヌーラボ取締役。プロジェクト管理ツール「Backlog」、ドローツール「Cacoo」など、コラボレーション型のWebサービスの企画と製品開発を行う。福岡在住。著作に「良いコードを書く技術（技術評論社）」染田貴志未踏ソフトウェア、起業を経験した後、株式会社ヌーラボに参加。プロジェクト管理ツール「Backlog」、ドローツール「Cacoo」の開発、インフラ運用を経て、現在はテクニカルエバンジェリストとしてヌーラボの魅力を伝える活動を行う。京都在住。JAWS-UG 京都支部長としてのコミュニティ活動の傍ら、Web+DB Press ( 技術評論社 ) でAWS 特集記事 ( Vol.62 ) や＠IT にて「DevOps時代の開発者ための構成管理入門」などの執筆も行う。 ■「Cacoo」も「Backlog」も、自分たちが本当に欲しいものを作ろうと思って作った Web上で
tksmd 2013/10/03
nulab

Backlog

Cacoo
リンク
- 2013年10月4日
- 2013年10月3日
- 2013年10月2日