SSL/TLS 20年の歩みと動向～ - JPNIC

2015/11/04 113 users POODLE JPNIC TLS プロトコル 動向

昨年2014年は、SSL（Secure Sockets Layer）とTLS（Transport Layer Security）というプロトコルがリリースされてから20年が経過し、HeartBleedやPOODLEなどの脆弱性でも話題となった年でもありました。今回の10分講座では、SSL/TLS暗号通信プロトコルの動向を紹介します。 SSL/TLSとは SSL/TLSは最も普及している暗号通信プロ... 続きを読む

Linuxに存在する脆弱性「GHOST」、システム管理者は落ち着いて対処を | トレンドマイクロ セキュリティブログ

2015/01/28 262 users Ghost トレンドマイクロ Linux Qualys 脆弱性

Linux GNU Cライブラリ（glibc）に存在する脆弱性がセキュリティ企業「Qualys」によって確認されました。この脆弱性「CVE-2015-0235」が利用されると、Linuxのオペレーティングシステム（OS）を搭載する PC上で任意のコードを実行することが可能になり、結果的にサーバーの乗っ取りや不正プログラムを感染させることができます。「Heartbleed」や「Shellshock」... 続きを読む

OSSEC ではじめるセキュリティログ監視 - クックパッド開発者ブログ

2014/12/31 228 users ShellShock POODLE kani_b 脆弱性 各地

2014-12-31 OSSEC ではじめるセキュリティログ監視 インフラストラクチャー部の星 (@kani_b) です。 Heartbleed, ShellShock, XSA-108 (a.k.a. EC2 インスタンス再起動祭), POODLE など、今年は話題となるような脆弱性が各地を襲う一年でした。 脆弱性への対応に加え、いわゆるセキュリティ対策に日頃頭を悩ませている方も多いのではないか... 続きを読む

「Google Chrome」が「OpenSSL」の使用を中止--「BoringSSL」に切り替え - CNET Japan

2014/07/25 105 users OpenSSL BoringSSL セキュリティプロトコル

「Google Chrome」の（開発者向け）最新バージョンで、セキュリティプロトコルを実装するソフトウェア「OpenSSL」の使用が中止され、OpenSSLからフォークした独自の「BoringSSL」へと切り替えられた。切り替えに関する詳細な情報は、Chromium Code Reviewsで確認できる。 OpenSSLについては、いわゆる「Heartbleed」脆弱性が4月に発覚し、大きな話題... 続きを読む

OAuthとOpenIDに深刻な脆弱性か--Facebookなど大手サイトに影響も - CNET Japan

2014/05/07 397 users Facebook OpenID OAuth OpenSSL

OpenSSLの脆弱性「Heartbleed」に続き、人気のオープンソースセキュリティソフトウェアでまた1つ大きな脆弱性が見つかった。今回、脆弱性が見つかったのはログインツールの「OAuth」と「OpenID」で、これらのツールは多数のウェブサイトと、Google、Facebook、Microsoft、LinkedInといったテクノロジ大手に使われている。 シンガポールにあるNanyang Tec... 続きを読む

Heardbleed禍のOpenSSLは「もはや修復不能」。OpenBSDがフォーク版開発へ : ギズモード・ジャパン

2014/04/24 141 users OpenBSD OpenSSL LibreSSL 虱潰し ヘマ

Webサービス , ニュース Heardbleed禍のOpenSSLは「もはや修復不能」。OpenBSDがフォーク版開発へ 2014.04.24 18:00 サイトがじわじわ来ますね…。 OpenSSLのヘマでHeartbleedなんてバグができてしまい、コードを虱潰しに当たっていたテオ・デ・ラート氏率いるOpenBSDプロジェクトが「こりゃ修復不能だ」と判断、フォーク版「LibreSSL」の開発... 続きを読む

オープンソースは報われない仕事。でもやるんだよ。 - 猫とC#について書くmatarilloの雑記

2014/04/18 274 users matarillo general OSS パク 雑記

General | Microsoftの中の人で、OSSとWeb技術を推進するScott Hanselmanが書いたブログ記事 "Open Source is a thankless job. We do it anyway." を勝手に翻訳。オープンソースは報われない仕事。でもやるんだよ。オープンソースは難しい。セキュリティは難しいOpenSSLの最近の "Heartbleed" バグに関する記... 続きを読む

OpenBSDがOpenSSLの大掃除に着手、「OpenOpenSSL」サイトも立ち上がる | スラッシュドット・ジャパン オープンソース

2014/04/17 206 users OpenBSD libssl tamo slashdot 罵倒

tamo 曰く、 OpenBSDがOpenSSLの大掃除に着手しています（slashdot）。 たとえばlibssl/src/sslを見ると、CVSに罵倒と修正がひっきりなしに記録されています。 Heatbleed対策のパッチだけで満足しなかった理由は、彼らから見てHeartbleedが単なるバグや仕様の問題ではなく、セキュリティ意識の問題から産まれたものだからです。 何年も前から 「OpenSS... 続きを読む

OpenBSD から見て Heartbleed は氷山の一角に過ぎない | スラッシュドット・ジャパン Submission

2014/04/17 206 users OpenBSD libssl tamo Submission

tamo 曰く、 既にコメントしましたが、 OpenBSD が OpenSSL を大掃除しています (本家記事)。 libssl/src/ssl だけを見ても、CVS に罵倒と修正がひっきりなしに記録されています。 Heatbleed 対策のパッチだけで満足しなかった理由は、彼らから見て Heartbleed が単なるバグでも単なる仕様の問題でもなく、セキュリティ意識の問題だからです。 何年も前か... 続きを読む

OpenBSD から見て Heartbleed は氷山の一角に過ぎない | スラッシュドット・ジャパン Submission

2014/04/16 206 users OpenBSD libssl tamo Submission

tamo 曰く、 既にコメントしましたが、 OpenBSD が OpenSSL を大掃除しています (本家記事)。 libssl/src/ssl だけを見ても、CVS に罵倒と修正がひっきりなしに記録されています。 Heatbleed 対策のパッチだけで満足しなかった理由は、彼らから見て Heartbleed が単なるバグでも単なる仕様の問題でもなく、セキュリティ意識の問題だからです。 何年も前か... 続きを読む

OpenSSLの件がやばすぎてどう対応すればいいのかイマイチよく分かりません(山本 一郎) - 個人 - Yahoo!ニュース

2014/04/15 334 users OpenSSL エクスプロイト 激震 TLS実装 一郎

山本一郎です。尿酸値がやばすぎます。 ところで、広く世界中で利用されるオープンソースのSSL/TLS実装「OpenSSL」に脆弱性が発見されネット界に激震が走りました。 OpenSSLの「Heartbleed」脆弱性、一般ユーザーの自衛は困難　対応は長期戦か（ITmedia 2014/4/10） 「OpenSSL」に秘密鍵漏洩する脆弱性「Heartbleed」が存在 - エクスプロイトも流通（Se... 続きを読む

OpenSSL マジヤバいっす！ ～ Heartbleed 脆弱性を試してみたよ - モラトリアムこじらせた

2014/04/15 171 users OpenSSL モラトリアム トホホ 大部分 脆弱性

2014-04-10 OpenSSL マジヤバいっす！ ～ Heartbleed 脆弱性を試してみたよ Python Security ネット上の通信の大部分において「安全」を担保していた OpenSSL なのですが... でっかい穴 が空いていたことが明らかになったようです。いわゆる Heartbleed バグ。トホホです。 「ネット上のサービスで OpenSSL を使っている(いた)サイトは、... 続きを読む

巷を賑わすHeartbleedの脆弱性とは？！ — Mobage Developers Blog

2014/04/15 417 users OpenSSL CVE-2014-0160 脆弱性 背景

こんにちは。セキュリティ技術グループのはるぷと申します。OpenSSLの脆弱性(CVE-2014-0160, JVNU#94401838)が2014年4月7日に公開され、OpenSSLが普及していることや、比較的早く実証コードが流通してしまった背景もあり、巷を賑わせました。今回は、このOpenSSLの脆弱性をより深く解説したいと思います。 1. OpenSSLの脆弱性(CVE-2014-0160)... 続きを読む

WiresharkでSSL通信の中身を覗いてみる - ろば電子が詰まっている

2014/04/13 1044 users Wireshark 落ち穂 ろば電子 OpenSSL 中身

OpenSSLの脆弱性「Heartbleed」が世間を賑わせていますが、色々と乗り遅れてしまった感があるので、ゆるゆると落ち穂拾いをしようかと思います。Heartbleedで秘密鍵を手に入れたらSSL通信の中身全部見えちゃうじゃん!! という事態になっていますが、なんとなく理論的にそうだろうなと分かるもののイマイチ具体的な手順が分からない。というわけで今回のテーマとして、手元にサーバの秘密鍵と、S... 続きを読む

heartbleedをiptablesで止めることについて - yasulib memo

2014/04/13 142 users iptables yasulib memo

前書きOpenSSLの脆弱性（CVE-2014-0160）が公開されました。詳細はpiyokangoさんの素晴らしいまとめを参照してください。OpenSSLの脆弱性（CVE-2014-0160）関連の情報をまとめてみた - piyologエフセキュアブログにて、トーマツの岩井さんが書いた興味深い記事がありました。エフセキュアブログ : Openssl Heartbleed 攻撃の検知について ＃根... 続きを読む

ウェブを襲った最悪のセキュリティ災害「Heartbleed」から自分の身を守る方法 | ReadWrite Japan

2014/04/12 268 users 送受信 ReadWrite Japan パク セキュリティ

ウェブを襲った最悪のセキュリティ災害「Heartbleed」から自分の身を守る方法 Heartbleed バグはウェブ・セキュリティを台無しにした。自分の身を守るためにはちょっとした努力が必要だが、その価値は十分にある。 インターネット上での買い物や財産管理、電子メールの送受信などにおけるプライバシーを守ってくれるはずのセキュリティ・ソフトに関する重大なバグ、「Heartbleed」が最近発見され... 続きを読む

Google、Facebookも。Heartbleedでパスワード変更推奨のサイト一覧 : ギズモード・ジャパン

2014/04/11 178 users Facebook OpenSSL Mashable パク 多く

多分ほぼみんな、どこかしらのサイトでパスワード変更を！ 多くのWebサイトで使われているOpenSSLにHeartbleedという非常に深刻なバグが見つかりました。パスワードやメール、クレジットカード情報など、あらゆるタイプのデータが漏洩していた可能性があります。バグが見つかるまでの2年ほどの間、これらのデータが取り放題だったんです。 自分は大丈夫なの？と気になるところですが、MashableがH... 続きを読む

OpenSSLの“出血バグ”を抱えているサイト、「.jp」ではHTTPSサイトの45％ -INTERNET Watch

2014/04/11 118 users OpenSSL OpenS TLSライブラリ パク SSL

ニュース OpenSSLの“出血バグ”を抱えているサイト、「.jp」ではHTTPSサイトの45％ （2014/4/11 19:59） “Heartbleed”と呼ばれるバグによって、深刻な脆弱性が約2年にわたって存在していたことが発覚したオープンソースのSSL/TLSライブラリ「OpenSSL」。暗号化された通信の内容や秘密鍵などの情報を第三者が取得可能だったという脆弱性の公表とともに、OpenS... 続きを読む

Kazuho's Weblog: Heartbleed脆弱性と、その背後にあるWebアプリケーションアーキテクチャの一般的欠陥について

2014/04/11 294 users Kazuho's Weblog 欠陥 背後 OpenSSL

Friday, April 11, 2014 Heartbleed脆弱性と、その背後にあるWebアプリケーションアーキテクチャの一般的欠陥について ■Heartbleedのリスクと善後策 Heartbleedは、攻撃者が一定の条件を満たすOpenSSLが動作しているサーバの、任意位置のメモリを外部から読み出すことができてしまうという脆弱性です。具体的には、以下のようなリスクが想定されています。 秘... 続きを読む

OpenSSLの脆弱性(CVE-2014-0160)関連のメモをまとめてみた - piyolog

2014/04/10 232 users OpenS OpenSSL piyolog 当該脆弱性 メモ

調べてみた | 23:14 | HeartBleed(CVE-2014-0160)関係のリンク集、自分のメモ用なので不正確です。 HeartBleedの影響対象となるOpenSSLバージョン以下のバージョンが影響を受けます。但し、システムによっては原因となっているheartbeat機能が無効化されている場合もあるため、バージョンが一致しただけで当該脆弱性の影響を受けるかは確定しません。 OpenS... 続きを読む

Gmail、YouTubeにも影響。壊滅的なOpenSSLの脆弱性、「Heartbleed」問題とは « WIRED.jp

2014/04/10 105 users Codenomicon FOX OpenSSL とたん 出血

Heartbleedは、「心臓からの出血」の意味。画像は、セキュリティ企業のCodenomiconがこの脆弱性について詳しく解説した「Heartbleed」サイトより。 4月8日（米国時間）、「Holmsey79」というハンドル名のユーザーがYahoo!にログインすると、そのとたんにアカウントがハッキングされた。Fox ITというコンピューター調査企業は、Holmsey79がログインしただけで、パ... 続きを読む

チェック方法まとめ：OpenSSLの「Heartbleed」脆弱性は2年前から存在、「最悪のケースを想定して対処を」と専門家 - ＠IT

2014/04/10 179 users OpenSSL TLS実装 漏えい SSL ソース

チェック方法まとめ：OpenSSLの「Heartbleed」脆弱性は2年前から存在、「最悪のケースを想定して対処を」と専門家 オープンソースのSSL/TLS実装「OpenSSL」に見つかった情報漏えいにつながる脆弱性の影響が拡大。専門家は「最悪のケース、つまり秘密鍵の漏えいを想定して対処すべき」と述べている。 オープンソースのSSL/TLS実装「OpenSSL」に見つかった情報漏えいにつながる脆弱... 続きを読む