日本ベリサイン - Enterprise & Internet Security SolutionsDiscover Domain Names Explore Registry Services About Verisign Support
SSL証明書の偽造に成功、ハッシュ関数の脆弱性を応用
Webサイトの信用証明に使われるハッシュ関数アルゴリズム「MD5」の脆弱性を突いて、認証局（CA）が発行するSSL証明書を偽造することに、セキュリティ研究者が成功した。US-CERTや米Microsoftは、MD5はもはや安全ではないと指摘して利用中止を促している。 US-CERTなどによると、MD5の弱点を用いた衝突攻撃の理論は1996年から指摘されていたが、現実的な攻撃方法は示されていなかった。しかし、2008年末のセキュリティカンファレンスで、信頼されている認証局のSSL証明書を偽造できることが実証された。 大半のOSには信頼できる認証局の一覧が組み込まれており、この中には署名アルゴリズムにMD5を使っている認証局もある。攻撃者がその脆弱性を悪用すれば、主要ブラウザが認定している認証局の証明書を偽造し、悪質なWebサイト向けに有効なSSL証明書を発行できてしまう。ユーザーはSSL証明
SSLが破られる -- ハッカーがMD5の衝突を利用してCA証明書の偽造に成功
文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2009-01-06 14:15 米国と欧州のハッカーのグループが、200台からなるPlayStation 3のクラスターの計算能力と、約700ドル相当のテスト用の電子証明書を使い、既知のMD5アルゴリズムの脆弱性を標的にして偽の証明機関（CA）を作る方法を発見した。これは、すべての最新のウェブブラウザによって完全に信用されている証明書を偽造することを可能にするブレークスルーだ。 この研究は、現地時間12月30日にドイツで開かれていた25C3カンファレンスでAlex Sotirov氏とJacob Appelbaum氏が発表したものだ。この研究は、最新のウェブブラウザがウェブサイトを信頼する方法を事実上破り、攻撃者がほぼ検知不可能なフィッシング攻撃を実行する方法を提供する。 この研究が重要なのは、
高木浩光＠自宅の日記 - IE 7の普及でサーバ証明書失効によるトラブルが表面化する
■ IE 7の普及でサーバ証明書失効によるトラブルが表面化する Internet Explorer 6まででは、「サーバー証明書の取り消しを確認する」の設定（「インターネットオプション」の「詳細設定」タブのところにある）が、デフォルトでオフになっていたが、IE 7で、これがデフォルトでオンになった。 Internet Explorer 7 における HTTPS セキュリティの強化点, Microsoft Windows Vista にパフォーマンス強化および OCSP プロトコルのサポートが追加されたことで、Windows Vista 上で実行される IE７ では既定で失効状態のチェックが有効になり、セキュリティが強化されます。 この影響が出始めているようだ。 QNo.2856522 証明書エラーがでてしまいます・・, 2007年3月22日 ビスタに変えてから、XPの時に普通に入れていたサ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
偽のSSL証明書作成を研究者グループが実証、200台のPS3を使用
