https://jp.techcrunch.com/2015/03/04/20150303freak-security-flaw-discovered-lurking-in-many-computers-for-decades-apple-promises-fix-next-week/
脆弱性事例ã«å¦ã¶ã‚»ã‚ュアコーディング「SSL/TLS証明書検証ã€ç·¨ (KOF2014)
1. ～誰ã‹ã®å¤±æ•—ã‚’ä»–å±±ã®çŸ³ã«ï½ž 脆弱性事例ã«å¦ã¶ã‚»ã‚ュアコーディング 「SSL/TLS証明書検証ã€ç·¨ JPCERT/CC æƒ…å ±æµé€šå¯¾ç–グループ 戸田 洋三 (yozo.toda@jpcert.or.jp) 1 KOF2014 version 2. Copyright©2014 JPCERT/CC All rights reserved. 自己紹介 http://www.tomo.gr.jp/root/e9706.html JPCERT/CC æƒ…å ±æµé€šå¯¾ç–グループ 解æžãƒãƒ¼ãƒ リードアナリスト 戸田 洋三 è„†å¼±æ€§æƒ…å ±åˆ†æž, ã‚»ã‚ュアコー ディング普åŠå•“発活動…… ã«åŠªã‚ã¦ã¾ã™ 2
ECサイトã®ã‚¹ãƒžãƒ›å¯¾å¿œã¯ãƒ‡ã‚¶ã‚¤ãƒ³ã ã‘？ SSL証明書ã¯å¤§ä¸ˆå¤«ï¼Ÿ | Web担当者Forum
SSL証明書é¸ã³ã‚’é–“é•ãˆã‚‹ã¨ ã›ã£ã‹ãã®ã‚¹ãƒžãƒ›ã‹ã‚‰ã®å£²ä¸Šã‚’逃ã™ã‹ã‚‚？ ECサイトé‹å–¶è€…ã«ã¨ã£ã¦ã€ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã¸ã®å¯¾å¿œã¯ç«æ€¥ã®èª²é¡Œã§ã™ã€‚実際ã«ã‚¹ãƒžãƒ›å¯¾å¿œã‚’進ã‚ã‚‹éš›ã«ã¯ãƒ‡ã‚¶ã‚¤ãƒ³ã‚„æ“作性ã«é…æ…®ã™ã‚‹å¿…è¦ãŒã‚ã‚‹ã®ã¯ã‚‚ã¡ã‚ã‚“ã§ã™ãŒã€æ„外ã¨å¿˜ã‚Œã‚‰ã‚ŒãŒã¡ãªã‚¹ãƒžãƒ›å¯¾å¿œã®ãƒã‚¤ãƒ³ãƒˆãŒã‚ã‚Šã¾ã™ã€‚ãã‚Œã¯ã€ECサイトã«ä¸å¯æ¬ ãªSSLサーãƒãƒ¼è¨¼æ˜Žæ›¸ã«é–¢ã™ã‚‹å•é¡Œã§ã™ã€‚ ECサイトã®ã‚¹ãƒžãƒ›å¯¾å¿œã§SSL証明書を気ã«ã—ãªã‘ã‚Œã°ã„ã‘ãªã„ã¨ã„ã†ã®ã¯ã©ã†ã„ã†ã“ã¨ã§ã—ょã†ã‹ï¼Ÿ ãã‚Œã¯ã€ã‚±ãƒ¼ã‚¿ã‚¤ECã§èµ·ãã¦ã„ã‚‹å•é¡Œã¨åŒæ§˜ã®ã‚‚ã®ã§ã™ã€‚ショッピングカートãªã©ã®HTTPS通信ã®ãŸã‚ã«ã‚µãƒ¼ãƒãƒ¼ã§SSL証明書を利用ã—ã¾ã™ãŒã€ä¸€éƒ¨ã®è¨¼æ˜Žæ›¸ãƒ™ãƒ³ãƒ€ãƒ¼ã®ç™ºè¡Œã™ã‚‹è¨¼æ˜Žæ›¸ã§ã¯ã€ç«¯æœ«ã«ã‚ˆã£ã¦ã¯SSL通信ãŒæœ‰åŠ¹ã«ãªã‚‰ãªã„ã¨ã„ã†å•é¡Œã§ã™ã€‚ ã“ã‚Œã¨åŒæ§˜ã®ã“ã¨ã‚’スマホã§ã‚‚æ„è˜ã—ã¦ãŠãã®ãŒå¤§åˆ‡ãªã®ã§ã™ã€‚ ã‚¹ãƒžãƒ›å¸‚å ´ã§ä¸€å¤§å‹¢åŠ›ã¨ãªã£ã¦ã„ã‚‹Android端末を例ã«èª¬æ˜Žã—ã¾
GoogleãŒOpenSSLをフォークã—ãŸã€ŒBoringSSLã€ã‚’公開 | スラド ã‚»ã‚ュリティ
GoogleãŒOpenSSLをフォークã—ã€ã€ŒBoringSSLã€ã¨ã—ã¦å…¬é–‹ã—ãŸ(ImperialVioletブãƒã‚°ã®è¨˜äº‹ã€ Ars Technicaã®è¨˜äº‹ã€ 本家/.)。 Googleã¯ä½•å¹´ã‚‚ã®é–“ã€OpenSSLã«æ•°å¤šãã®ãƒ‘ッãƒã‚’当ã¦ã¦ä½¿ç”¨ã—ã¦ã„ãŸã¨ã„ã†ã€‚一部ã®ãƒ‘ッãƒã¯OpenSSLã®ãƒ¡ã‚¤ãƒ³ãƒªãƒã‚¸ãƒˆãƒªã«å–ã‚Šè¾¼ã¾ã‚ŒãŸãŒã€å¤§åŠã¯APIã‚„ABIã®å®‰å®šæ€§ã®å•é¡ŒãŒã‚ã‚‹ãªã©ã®ç†ç”±ã§å–ã‚Šè¾¼ã¾ã‚Œã¦ã„ãªã‹ã£ãŸã€‚Androidã‚„Chromeãªã©ã®è£½å“ã¯ãƒ‘ッãƒã®ä¸€éƒ¨ã‚’å¿…è¦ã¨ã™ã‚‹ãŒã€ãƒ‘ッãƒã¯70以上もã‚ã‚‹ãŸã‚ã«ä½œæ¥ãŒè¤‡é›‘ã«ãªã£ã¦ã„ãŸãã†ã 。ãã®ãŸã‚ã€OpenSSLをフォークã—ã¦ã€OpenSSLå´ã®å¤‰æ›´ã‚’インãƒãƒ¼ãƒˆã™ã‚‹æ–¹å¼ã«å¤‰æ›´ã—ãŸã¨ã—ã¦ã„る。BoringSSLã¯è¿‘ã„ã†ã¡ã«Chromiumã®ãƒªãƒã‚¸ãƒˆãƒªã«è¿½åŠ ã•ã‚Œã‚‹äºˆå®šã§ã€ã„ãšã‚ŒAndroidや内部的ã«ã‚‚使ã‚れるよã†ã«ãªã‚‹ã€‚ãŸã ã—ã€BoringSSLã§ã¯APIã‚„ABI
スマートフォンアプリケーションã§SSLを使ã‚ãªã„ã®ã¯è„†å¼±æ€§ã‹
ã“ã®ã‚¨ãƒ³ãƒˆãƒªã§ã¯ã€ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã‚¢ãƒ—リケーションã®é€šä¿¡æš—å·åŒ–ã®å¿…è¦æ€§ã«ã¤ã„ã¦è°è«–ã—ã¾ã™ã€‚ ã¯ã˜ã‚㫠先日ã€ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã‚¢ãƒ—リケーションã®ã‚»ã‚ュリティã«é–¢ã™ã‚‹ã‚»ãƒŸãƒŠãƒ¼ã‚’è´è¬›ã—ã¾ã—ãŸï¼ˆ2月8日追記。講演者ã‹ã‚‰ã®ä¾é ¼ã«ã‚ˆã‚Šã‚»ãƒŸãƒŠãƒ¼ã®ã‚µã‚¤ãƒˆã¸ã®ãƒªãƒ³ã‚¯ã‚’ã‚‚ã†ã‘ã¾ã—ãŸï¼‰ã€‚ã“ã®éš›ã«ã€ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã‚¢ãƒ—リケーションã®è„…å¨ã«å¯¾ã™ã‚‹å…±é€šèªè˜ãŒã¾ã ãªã„ã¨ã„ã†èª²é¡Œã‚’改ã‚ã¦æ„Ÿã˜ã¾ã—ãŸã€‚ãã®èª²é¡Œã‚’痛感ã§ããŸã¨ã„ã†ç‚¹ã§ã€ã‚»ãƒŸãƒŠãƒ¼ã¯ç§ã«ã¨ã£ã¦ã¯æœ‰ç›Šã§ã—ãŸã€‚ ã“ã®ãŸã‚ã€å½“ブãƒã‚°ã§ã¯ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã‚¢ãƒ—リケーションã®è©±é¡Œã‚’ã‚ã¾ã‚Šå–り上ã’ã¦ã„ã¾ã›ã‚“ã§ã—ãŸãŒã€ä»Šå¾Œã¯ã€ã¨ã‚Šã‚ã’よã†ã¨æ€ã„ã¾ã™ã€‚ã¾ãšã¯ã€ã‚¹ãƒžãƒ¼ãƒˆãƒ•ã‚©ãƒ³ã‚¢ãƒ—リケーションã§ã¯æš—å·åŒ–ã‚’å¿…é ˆã¨ã™ã‚‹ã¹ãã‹ã¨ã„ã†è©±é¡Œã§ã™ã€‚ã“ã®è©±é¡Œã¯ã€å‰è¨˜ã‚»ãƒŸãƒŠãƒ¼ã§ã‚‚ã¨ã‚Šã‚ã’られã¦ã„ã¾ã—ãŸã€‚ æš—å·åŒ–ã®ç›®çš„ã¯ä½•ã‹ ã¾ãšã€æš—å·åŒ–ã®å¿…è¦æ€§ã‚’è«–ã˜ã‚‹ãŸã‚ã«ã¯ã€æš—å·åŒ–ã®ç›®çš„を明確ã«ã™ã‚‹å¿…è¦ãŒã‚ã‚Šã¾ã™ã€‚å‰è¨˜ã‚»ãƒŸ
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}