OpenSSLã«ã¾ãŸé‡åº¦ã®æ¬ 陥ã€ä¿®æ£ã‚¢ãƒƒãƒ—デートã¯3月19æ—¥ã«ãƒªãƒªãƒ¼ã‚¹
CodeZine編集部ã§ã¯ã€ç¾å ´ã§æ´»èºã™ã‚‹ãƒ‡ãƒ™ãƒãƒƒãƒ‘ーをスターã«ã™ã‚‹ãŸã‚ã®ã‚«ãƒ³ãƒ•ã‚¡ãƒ¬ãƒ³ã‚¹ã€ŒDevelopers Summitã€ã‚„ã€ã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ã®ç”Ÿãã–ã¾ã‚’ブーストã™ã‚‹ãŸã‚ã®ã‚¤ãƒ™ãƒ³ãƒˆã€ŒDevelopers Boostã€ãªã©ã€ã•ã¾ã–ã¾ãªã‚«ãƒ³ãƒ•ã‚¡ãƒ¬ãƒ³ã‚¹ã‚’ä¼ç”»ãƒ»é‹å–¶ã—ã¦ã„ã¾ã™ã€‚
FREAK ã«ã¤ã„ã¦ã¾ã¨ã‚ã¦ã¿ãŸ - piyolog
輸出グレードã®RSAæš—å·ã‚’サãƒãƒ¼ãƒˆã—ã¦ã„ãŸã“ã¨ã«èµ·å› ã™ã‚‹è„†å¼±æ€§FREAKã«é–¢ã™ã‚‹æƒ…å ±ã«ã¤ã„ã¦é–¢é€£æƒ…å ±ã‚’ã¾ã¨ã‚ã¾ã™ã€‚ è„†å¼±æ€§æ¦‚è¦ è„†å¼±æ€§ã®æ¦‚è¦æƒ…å ±ã¯æ¬¡ã®é€šã‚Šã€‚ 愛称 FREAK (Factoring attack on RSA-EXPORT Keysã®ç•¥) 輸出グレード暗å·ã®å¼·åˆ¶ä½¿ç”¨ã«é–¢ã™ã‚‹å‘¼ç§° アイコン ç„¡ã— CVE OpenSSL：CVE-2015-0204 Apple：CVE-2015-1067 Microsoft：CVE-2015-1637 発見者å miTLS Inria(ãƒ•ãƒ©ãƒ³ã‚¹å›½ç«‹æƒ…å ±å¦è‡ªå‹•åˆ¶å¾¡ç ”究所)ã¨Microsoft Researchã®åˆåŒãƒãƒ¼ãƒ FREAK Attackã®æ¦‚è¦ ä¸é–“者攻撃ãŒè¡Œã‚れるã¾ã§ã®FREAK Attackã®æµã‚Œã¯æ¬¡ã®é€šã‚Šã€‚(3月6日更新) MITMã®æ”»æ’ƒæˆç«‹æ¡ä»¶ 以下ã®æ¡ä»¶ãŒæˆç«‹ã™ã‚‹å ´åˆã€é€šä¿¡å†…容ã®ç›—è´ã‚„改ã–ã‚“ã®å½±éŸ¿ã‚’å—ã‘ã‚‹å¯èƒ½æ€§ãŒã‚る。 接続元・
Wiresharkã§SSL通信ã®ä¸èº«ã‚’覗ã„ã¦ã¿ã‚‹ - ã‚ã°é›»åãŒè©°ã¾ã¤ã¦ã‚ã‚‹
OpenSSLã®è„†å¼±æ€§ã€ŒHeartbleedã€ãŒä¸–間を賑ã‚ã›ã¦ã„ã¾ã™ãŒã€è‰²ã€…ã¨ä¹—ã‚Šé…ã‚Œã¦ã—ã¾ã£ãŸæ„ŸãŒã‚ã‚‹ã®ã§ã€ã‚†ã‚‹ã‚†ã‚‹ã¨è½ã¡ç©‚拾ã„ã‚’ã—よã†ã‹ã¨æ€ã„ã¾ã™ã€‚ Heartbleedã§ç§˜å¯†éµã‚’手ã«å…¥ã‚ŒãŸã‚‰SSL通信ã®ä¸èº«å…¨éƒ¨è¦‹ãˆã¡ã‚ƒã†ã˜ã‚ƒã‚“!! ã¨ã„ã†äº‹æ…‹ã«ãªã£ã¦ã„ã¾ã™ãŒã€ãªã‚“ã¨ãªãç†è«–çš„ã«ãã†ã ã‚ã†ãªã¨åˆ†ã‹ã‚‹ã‚‚ã®ã®ã‚¤ãƒžã‚¤ãƒå…·ä½“çš„ãªæ‰‹é †ãŒåˆ†ã‹ã‚‰ãªã„。 ã¨ã„ã†ã‚ã‘ã§ä»Šå›žã®ãƒ†ãƒ¼ãƒžã¨ã—ã¦ã€æ‰‹å…ƒã«ã‚µãƒ¼ãƒã®ç§˜å¯†éµã¨ã€SSL通信をパケットã‚ャプãƒãƒ£ã—ãŸpcapファイルãŒã‚ã‚‹ã¨ãã«ã€Wiresharkã§ã©ã‚“ãªæ„Ÿã˜ã§SSL通信を「ã»ã©ãã€ã®ã‹â€¦â€¦ã¨ã„ã†å…·ä½“çš„ãªæ‰‹é †ã‚’ã€ãƒãƒžã‚Šæ‰€ã‚’å«ã‚ã¦ã¾ã¨ã‚ã¦ãŠã“ã†ã‹ã¨æ€ã„ã¾ã™ã€‚ ã¨ã„ã†ã‹ã€ç§è‡ªèº«ãŒãƒãƒžã£ãŸã®ã§è‡ªåˆ†ç”¨ãƒ¡ãƒ¢ã§ã™ãªã€‚ãªãŠã“ã®æ–‡æ›¸ã§ã¯"SSL"ã¨ã ã‘記述ã—ã€TLSã¯ç„¡è¦–ã—ã¦ã„ã¾ã™ã€‚ å‰ææ¡ä»¶ ã¨ã‚Šã‚ãˆãšä»¥ä¸‹ã®ã‚ˆã†ãªæ„Ÿã˜ã®æ¤œè¨¼ç’°å¢ƒã§è©¦ã—ã¾ã—ãŸã€‚ IPアドレス 説明 ホストO
OpenSSLã®ã€ŒHeartbleedã€è„†å¼±æ€§ã¯2å¹´å‰ã‹ã‚‰å˜åœ¨ã€ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã‚’想定ã—ã¦å¯¾å‡¦ã‚’ã€ã¨å°‚門家
OpenSSLã®ã€ŒHeartbleedã€è„†å¼±æ€§ã¯2å¹´å‰ã‹ã‚‰å˜åœ¨ã€ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã‚’想定ã—ã¦å¯¾å‡¦ã‚’ã€ã¨å°‚門家：ãƒã‚§ãƒƒã‚¯æ–¹æ³•ã¾ã¨ã‚ オープンソースã®SSL/TLS実装「OpenSSLã€ã«è¦‹ã¤ã‹ã£ãŸæƒ…å ±æ¼ãˆã„ã«ã¤ãªãŒã‚‹è„†å¼±æ€§ã®å½±éŸ¿ãŒæ‹¡å¤§ã€‚専門家ã¯ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã€ã¤ã¾ã‚Šç§˜å¯†éµã®æ¼ãˆã„を想定ã—ã¦å¯¾å‡¦ã™ã¹ãã€ã¨è¿°ã¹ã¦ã„る。 オープンソースã®SSL/TLS実装「OpenSSLã€ã«è¦‹ã¤ã‹ã£ãŸæƒ…å ±æ¼ãˆã„ã«ã¤ãªãŒã‚‹è„†å¼±æ€§ã®å½±éŸ¿ãŒæ‹¡å¤§ã—ã¦ã„る。OSやクラウドサービスã€ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯æ©Ÿå™¨ã®ä¸ã«ã¯ã€è„†å¼±æ€§ã®ã‚ã‚‹OpenSSLを利用ã—ã¦ã„ã‚‹ã‚‚ã®ãŒå¤šæ•°ã‚ã‚Šã€ãƒ™ãƒ³ãƒ€ãƒ¼å„社ãŒç¢ºèªãƒ»å¯¾å¿œã‚’進ã‚ã¦ã„る。国内ã§ã‚‚ã“ã®è„†å¼±æ€§ã®å½±éŸ¿ã‚’å—ã‘るサイトãŒç¢ºèªã•ã‚Œã¦ãŠã‚Šã€ä¸ã«ã¯ä¸€æ™‚çš„ã«ã‚µãƒ¼ãƒ“スをåœæ¢ã—ã€å¯¾å‡¦ã‚’優先ã—ãŸã‚µãƒ¼ãƒ“スもã‚る。 ã“ã®è„†å¼±æ€§ã¯ã€OpenSSL ãƒãƒ¼ã‚¸ãƒ§ãƒ³1.0.1ï¼1.0.2ç³»ã«å˜åœ¨ã™ã‚‹ã€‚Heartbeatæ‹¡å¼µã®å®Ÿè£…ã«è¦‹ã¤ã‹
CVE-2014-0160 OpenSSL Heartbleed 脆弱性ã¾ã¨ã‚ - ã‚ã‚‚ãŠãã°
å¿…è¦ãªæƒ…å ±ã¯ http://heartbleed.com/ ã«ã¾ã¨ã¾ã£ã¦ã„ã‚‹ã®ã§ã™ãŒã€è‹±èªžã ã—é•·ã„ã—ã£ã¦äººã®ãŸã‚ã«æ‰‹çŸã«ã¾ã¨ã‚ã¦ãŠãã¾ã™ã€‚ ã©ã†ã™ã‚Œã°ã„ã„ã®ã‹ OpenSSL 1.0.1〜1.0.1fを使ã£ã¦ã„ãªã‘ã‚Œã°ã‚»ãƒ¼ãƒ• ã‚ã¦ã¯ã¾ã‚‹å ´åˆã«ã¯ã€ä¸€åˆ»ã‚‚æ—©ããƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã—ã¦ã€ã‚µãƒ¼ãƒã”ã¨å†èµ·å‹•(ã‚ã‹ã‚‹ã²ã¨ã¯ã‚µãƒ¼ãƒ“スå˜ä½ã§ã‚‚OKã€ãŸã ã—reloadã§ã¯ã ã‚ãªã“ã¨ã‚‚) SSL証明書ã§ã‚µãƒ¼ãƒã‚’公開ã—ã¦ã„ã‚‹ãªã‚‰ã€ç§˜å¯†éµã‹ã‚‰ä½œã‚Šç›´ã—ã¦è¨¼æ˜Žæ›¸ã‚’å†ç™ºè¡Œã—ã€éŽåŽ»ã®è¨¼æ˜Žæ›¸ã‚’失効ã•ã›ã‚‹(末尾ã«é–¢é€£ãƒªãƒ³ã‚¯ã‚ã‚Š)。 サーãƒã‚’公開ã—ã¦ã„ãªã„å ´åˆã‚‚ã€å¤–部ã¸ã®SSL通信ãŒã‚ã‚Œã°å½±éŸ¿ã‚’å—ã‘ã‚‹ã®ã§ã€è©³ã—ã精査ã™ã‚‹ã€‚ PFS(perfect forward secrecy)を利用ã—ã¦ã„ãªã„å ´åˆã€éŽåŽ»ã®é€šä¿¡å†…容も復å·ã•ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ãŸã‚ã€è©³ã—ã精査ã™ã‚‹ã€‚ æ¼æ´©ã™ã‚‹æƒ…å ±ã®å…·ä½“例ã¯ã€OpenSSLã®è„†å¼±æ€§ã§æƒ³å®šã•ã‚Œã‚‹ãƒªã‚¹ã‚¯ã¨ã—ã¦
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
OpenSSL CCSインジェクション脆弱性(CVE-2014-0224) ã®ä¿®æ£ã¯yumã«å…¬é–‹æ¸ˆã¿ - Qiita
[CentOS-announce] CVE-2014-0160 CentOS 6 openssl heartbleed workaround
{{#tags}}- {{label}}
{{/tags}}