r/crypto - OpenSSL bug allows RSA 1024 key factorization in 20 minutes
Thankfully it's very easy to tell whether it's real. If anyone can publish the two, non-trivial factors of this number (where neither is 1!) then they'll have my attention: 0xe5c30e1286c41c7137dc06194199dde641120de591c1b7392de35ef6a961d6d29faa3bcdb7603d42768a90322197a7a46fa2cf23f6f10de5554db6e7322ba35e858f576f840347c795c8782c3f4ef9f530d2fd1f6b5c275ce49404958f0decddd0b53386d12c745891d5eeca1f265bdf8
OpenSSL #ccsinjection Vulnerability
[English] 最終更新日: Mon, 16 Jun 2014 18:21:23 +0900 CCS Injection Vulnerability æ¦‚è¦ OpenSSLã®ChangeCipherSpecメッセージã®å‡¦ç†ã«æ¬ 陥ãŒç™ºè¦‹ã•ã‚Œã¾ã—ãŸã€‚ ã“ã®è„†å¼±æ€§ã‚’悪用ã•ã‚ŒãŸå ´åˆã€æš—å·é€šä¿¡ã®æƒ…å ±ãŒæ¼ãˆã„ã™ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ サーãƒã¨ã‚¯ãƒ©ã‚¤ã‚¢ãƒ³ãƒˆã®ä¸¡æ–¹ã«å½±éŸ¿ãŒã‚ã‚Šã€è¿…速ãªå¯¾å¿œãŒæ±‚ã‚られã¾ã™ã€‚ 攻撃方法ã«ã¯å……分ãªå†ç¾æ€§ãŒã‚ã‚Šã€æ¨™çš„型攻撃ç‰ã«åˆ©ç”¨ã•ã‚Œã‚‹å¯èƒ½æ€§ã¯éžå¸¸ã«é«˜ã„ã¨è€ƒãˆã¾ã™ã€‚ å¯¾ç– å„ベンダã‹ã‚‰æ›´æ–°ãŒãƒªãƒªãƒ¼ã‚¹ã•ã‚Œã‚‹ã¨æ€ã‚れるã®ã§ã€ãれをインストールã™ã‚‹ã“ã¨ã§å¯¾ç–ã§ãã¾ã™ã€‚ （éšæ™‚更新） Ubuntu Debian FreeBSD CentOS Red Hat 5 Red Hat 6 Amazon Linux AMI åŽŸå› OpenSSLã®ChangeCipherSpecメッセージã®å‡¦ç†ã«ç™ºè¦‹
Heartbleed Bug
The Heartbleed Bug is a serious vulnerability in the popular OpenSSL cryptographic software library. This weakness allows stealing the information protected, under normal conditions, by the SSL/TLS encryption used to secure the Internet. SSL/TLS provides communication security and privacy over the Internet for applications such as web, email, instant messaging (IM) and some virtual private network
Heartbleed脆弱性ã¨ã€ãã®èƒŒå¾Œã«ã‚ã‚‹Webアプリケーションアーã‚テクãƒãƒ£ã®ä¸€èˆ¬çš„æ¬ é™¥ã«ã¤ã„ã¦
â– Heartbleedã®ãƒªã‚¹ã‚¯ã¨å–„å¾Œç– Heartbleedã¯ã€æ”»æ’ƒè€…ãŒä¸€å®šã®æ¡ä»¶ã‚’満ãŸã™OpenSSLãŒå‹•ä½œã—ã¦ã„るサーãƒã®ã€ä»»æ„ä½ç½®ã®ãƒ¡ãƒ¢ãƒªã‚’外部ã‹ã‚‰èªã¿å‡ºã™ã“ã¨ãŒã§ãã¦ã—ã¾ã†ã¨ã„ã†è„†å¼±æ€§ã§ã™ã€‚具体的ã«ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ãªãƒªã‚¹ã‚¯ãŒæƒ³å®šã•ã‚Œã¦ã„ã¾ã™ã€‚ 秘密éµã®æ¼æ´©ã«ã‚ˆã‚‹ã€å½ã‚µã‚¤ãƒˆã®å‡ºç¾ï¼ˆã‚ã‚‹ã„ã¯ä¸é–“者攻撃） 秘密éµã®æ¼æ´©ã«ã‚ˆã‚Šã€ï¼ˆéŽåŽ»ã®ã‚‚ã®ã‚’å«ã‚€ï¼‰ãƒ‘ケットã‚ャプãƒãƒ£ã®è§£èª サーãƒã®åŒä¸€ãƒ—ãƒã‚»ã‚¹ãŒè¡Œã£ãŸå‡¦ç†ã«é–¢é€£ã™ã‚‹ï¼ˆä»–ã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®ãƒ‘スワードやセッションã‚ーをå«ã‚€ï¼‰ãƒ‡ãƒ¼ã‚¿ã®æ¼æ´© æ¼æ´©ã—ãŸç§˜å¯†éµã‚’用ã„ãŸæ”»æ’ƒã«ã¯ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’å½ã‚µã‚¤ãƒˆã¸èª˜å°Žã§ããŸã‚Šã€ãƒ‘ケットã®çµŒç”±ç‚¹ã‚’管ç†ã—ã¦ã„ã‚‹ãªã©ã®ã€çµŒè·¯ä¸Šã®è¦ä»¶ãŒå¿…è¦ã«ãªã‚Šã¾ã™ã€‚ä»–ã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®ãƒ‡ãƒ¼ã‚¿ã®æ¼æ´©ã«ã¤ã„ã¦ã¯ã€çµŒè·¯ä¸Šã®è¦ä»¶ã¯ä¸è¦ãªä¸€æ–¹ã€æ”»æ’ƒã®å®Ÿæ–½ã«è¿‘ã„タイミングã§ã‚µãƒ¼ãƒã«ã‚¢ã‚¯ã‚»ã‚¹ã—ãŸãƒ¦ãƒ¼ã‚¶ãƒ¼ã®ãƒ‡ãƒ¼ã‚¿ã—ã‹æ¼ã‚Œãªã„ã€ã¨ã„ã†é•ã„ãŒã‚ã‚Šã¾ã™ã€‚ ã©ã“ã¾ã§å¯¾ç–ã‚’æ–½ã™ã¹
OpenBSDã€æ€’ã‚Šã®ã‚³ãƒŸãƒƒãƒˆ
OpenSSLã®heatbeatãƒã‚°ã®å¯¾å¿œã®ãŸã‚ã€OpenBSDã¯OpenSSLã®heatbeatを無効ã«ã™ã‚‹ã‚³ãƒŸãƒƒãƒˆã‚’ã—ãŸã€‚ãŸã ã—・・・ src/lib/libssl/ssl/Makefile - view - 1.29 Segglemannã®RFC520 heatbeatを無効化。 ã‚ã®ã¾ã¨ã‚‚ãªãƒ—ãƒãƒˆã‚³ãƒ«ã²ã¨ã¤åˆ¶å®šã§ããªã„IETFã®ç„¡èƒ½é›†å›£ãŒã€è¶…é‡è¦ãªãƒ—ãƒãƒˆã‚³ãƒ«ã§64Kã®ç©´ã‚’ã“ã—らãˆã‚‹ã¨ã‹ã€ãƒžã‚¸ã§ã‚ãã‚Œã¦ã‚‚ã®ã‚‚言ãˆãーã‚。奴らã¯ãƒžã‚¸ã“ã®å•é¡Œã‚’本気ã§æ¤œè¨¼ã™ã¹ãã ã‚。ãªã‚“ã§ã“ã‚“ãªã“ã¨ã‚’ã—ã§ã‹ã—ãŸã®ã‹ã€‚ã“ã‚“ãªäº‹æ…‹ã‚’承èªã—ãŸè²¬ä»»ã‚る連ä¸ã‚’全員ã€æ„æ€æ±ºå®šãƒ—ãƒã‚»ã‚¹ã‹ã‚‰å–り除ãå¿…è¦ãŒã‚る。IETFã€ã¦ã‚ーã¯ä¿¡ç”¨ãªã‚“ãã‡ã€‚ ã“ã®ã‚³ãƒŸãƒƒãƒˆã¯ã€Makefileã®ä¸ã§ã€OpenSSLã§heatbeatを無効ã«ã™ã‚‹ãƒžã‚¯ãƒã‚’定義ã™ã‚‹ã‚ˆã†ã€ã‚³ãƒ³ãƒ‘イラーオプションを指定ã™ã‚‹ã‚‚ã®ã 。ãŸã ã—ã€ç„¡åŠ¹ã«ã™ã‚‹ãƒžã‚¯ãƒã¯ã€OPE
OpenSSLã®ã€ŒHeartbleedã€è„†å¼±æ€§ã¯2å¹´å‰ã‹ã‚‰å˜åœ¨ã€ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã‚’想定ã—ã¦å¯¾å‡¦ã‚’ã€ã¨å°‚門家
OpenSSLã®ã€ŒHeartbleedã€è„†å¼±æ€§ã¯2å¹´å‰ã‹ã‚‰å˜åœ¨ã€ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã‚’想定ã—ã¦å¯¾å‡¦ã‚’ã€ã¨å°‚門家：ãƒã‚§ãƒƒã‚¯æ–¹æ³•ã¾ã¨ã‚ オープンソースã®SSL/TLS実装「OpenSSLã€ã«è¦‹ã¤ã‹ã£ãŸæƒ…å ±æ¼ãˆã„ã«ã¤ãªãŒã‚‹è„†å¼±æ€§ã®å½±éŸ¿ãŒæ‹¡å¤§ã€‚専門家ã¯ã€Œæœ€æ‚ªã®ã‚±ãƒ¼ã‚¹ã€ã¤ã¾ã‚Šç§˜å¯†éµã®æ¼ãˆã„を想定ã—ã¦å¯¾å‡¦ã™ã¹ãã€ã¨è¿°ã¹ã¦ã„る。 オープンソースã®SSL/TLS実装「OpenSSLã€ã«è¦‹ã¤ã‹ã£ãŸæƒ…å ±æ¼ãˆã„ã«ã¤ãªãŒã‚‹è„†å¼±æ€§ã®å½±éŸ¿ãŒæ‹¡å¤§ã—ã¦ã„る。OSやクラウドサービスã€ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯æ©Ÿå™¨ã®ä¸ã«ã¯ã€è„†å¼±æ€§ã®ã‚ã‚‹OpenSSLを利用ã—ã¦ã„ã‚‹ã‚‚ã®ãŒå¤šæ•°ã‚ã‚Šã€ãƒ™ãƒ³ãƒ€ãƒ¼å„社ãŒç¢ºèªãƒ»å¯¾å¿œã‚’進ã‚ã¦ã„る。国内ã§ã‚‚ã“ã®è„†å¼±æ€§ã®å½±éŸ¿ã‚’å—ã‘るサイトãŒç¢ºèªã•ã‚Œã¦ãŠã‚Šã€ä¸ã«ã¯ä¸€æ™‚çš„ã«ã‚µãƒ¼ãƒ“スをåœæ¢ã—ã€å¯¾å‡¦ã‚’優先ã—ãŸã‚µãƒ¼ãƒ“スもã‚る。 ã“ã®è„†å¼±æ€§ã¯ã€OpenSSL ãƒãƒ¼ã‚¸ãƒ§ãƒ³1.0.1ï¼1.0.2ç³»ã«å˜åœ¨ã™ã‚‹ã€‚Heartbeatæ‹¡å¼µã®å®Ÿè£…ã«è¦‹ã¤ã‹
CVE-2014-0160 OpenSSL Heartbleed 脆弱性ã¾ã¨ã‚ - ã‚ã‚‚ãŠãã°
å¿…è¦ãªæƒ…å ±ã¯ http://heartbleed.com/ ã«ã¾ã¨ã¾ã£ã¦ã„ã‚‹ã®ã§ã™ãŒã€è‹±èªžã ã—é•·ã„ã—ã£ã¦äººã®ãŸã‚ã«æ‰‹çŸã«ã¾ã¨ã‚ã¦ãŠãã¾ã™ã€‚ ã©ã†ã™ã‚Œã°ã„ã„ã®ã‹ OpenSSL 1.0.1〜1.0.1fを使ã£ã¦ã„ãªã‘ã‚Œã°ã‚»ãƒ¼ãƒ• ã‚ã¦ã¯ã¾ã‚‹å ´åˆã«ã¯ã€ä¸€åˆ»ã‚‚æ—©ããƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚¢ãƒƒãƒ—ã—ã¦ã€ã‚µãƒ¼ãƒã”ã¨å†èµ·å‹•(ã‚ã‹ã‚‹ã²ã¨ã¯ã‚µãƒ¼ãƒ“スå˜ä½ã§ã‚‚OKã€ãŸã ã—reloadã§ã¯ã ã‚ãªã“ã¨ã‚‚) SSL証明書ã§ã‚µãƒ¼ãƒã‚’公開ã—ã¦ã„ã‚‹ãªã‚‰ã€ç§˜å¯†éµã‹ã‚‰ä½œã‚Šç›´ã—ã¦è¨¼æ˜Žæ›¸ã‚’å†ç™ºè¡Œã—ã€éŽåŽ»ã®è¨¼æ˜Žæ›¸ã‚’失効ã•ã›ã‚‹(末尾ã«é–¢é€£ãƒªãƒ³ã‚¯ã‚ã‚Š)。 サーãƒã‚’公開ã—ã¦ã„ãªã„å ´åˆã‚‚ã€å¤–部ã¸ã®SSL通信ãŒã‚ã‚Œã°å½±éŸ¿ã‚’å—ã‘ã‚‹ã®ã§ã€è©³ã—ã精査ã™ã‚‹ã€‚ PFS(perfect forward secrecy)を利用ã—ã¦ã„ãªã„å ´åˆã€éŽåŽ»ã®é€šä¿¡å†…容も復å·ã•ã‚Œã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ãŸã‚ã€è©³ã—ã精査ã™ã‚‹ã€‚ æ¼æ´©ã™ã‚‹æƒ…å ±ã®å…·ä½“例ã¯ã€OpenSSLã®è„†å¼±æ€§ã§æƒ³å®šã•ã‚Œã‚‹ãƒªã‚¹ã‚¯ã¨ã—ã¦
è² è·ãƒ†ã‚¹ãƒˆãƒ„ール http_load 㧠ssl を利用ã§ãるよã†ã«ã™ã‚‹ - ãŠã‚‚ã—ã‚webサービス開発日記
ãŠæ‰‹è»½ãªã‚¦ã‚§ãƒ–サーãƒè² è·ãƒ†ã‚¹ãƒˆãƒ„ールã®ä»£è¡¨ã¨è¨€ãˆã° ab ã§ã™ãŒã€ã©ã†ã‚‚自分ã®ç’°å¢ƒ(mac osx lion)ã§ã¯ã†ã¾ãå‹•ãã¾ã›ã‚“。具体的ã«ã¯ã‚µãƒ¼ãƒå´ã«ã¯ã¾ã 余裕ãŒã‚ã‚‹ã®ã«æŽ¥ç¶šãŒåˆ‡ã‚Œã¦ã—ã¾ã£ãŸã‚Šã—ã¾ã™ã€‚ソースã‹ã‚‰apacheをビルドã™ã‚‹ã¨ã„ã„ã¨ã„ã†è©±ã—を何処ã‹ã§è¦‹ã‹ã‘ãŸã‘ã©ã†ã¾ãã„ã‹ãšâ€¦çµå±€ä»–ã®ãƒ„ールを使ã†ã“ã¨ã«ã—ã¾ã—ãŸã€‚ http_load㯠abã¨åŒã˜ãらã„ãŠæ‰‹è»½ãªãƒ„ールã§ã™ã€‚普通ã«ä½¿ã†åˆ†ã«ã¯ããã‚Œã°ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«æ–¹æ³•ã€å®Ÿè¡Œæ™‚ã®ã‚ªãƒ—ションç‰ã§ã¦ãã¾ã™ãŒã€ssl を利用ã—ã¦ã„るサイトã®è² è·ã‚’テストã™ã‚‹æ–¹æ³•ãŒãªã‹ãªã‹è¦‹ã¤ã‹ã‚‰ãªãã¦å›°ã‚Šã¾ã—ãŸã€‚ã®ã§åŒã˜ã‚ˆã†ã«æ‚©ã‚“ã§ã„る人ã®ãŸã‚ã«æ‰‹é †ã‚’書ã„ã¦ãŠãã¾ã™ã€‚ 普通ã«ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã™ã‚‹ã ã‘ãªã‚‰ ソースをダウンãƒãƒ¼ãƒ‰ã—ã¦å±•é–‹ make sudo make install ã ã‘ã§å•é¡Œãªã„ã®ã§ã™ãŒã€sslを使ãˆã‚‹ã‚ˆã†ã«ã™ã‚‹ã«ã¯ make ã®å‰ã« Makefile
yebo blog: OpenSSLã®è£æŠ€
2011/11/30 OpenSSLã®è£æŠ€ SSL/TLSを実装ã—ãŸãƒ„ール「OpenSSLã€ãã®ã‚‚ã®ã‚’普段使ã†ã“ã¨ã¯ãªã„ãŒã€OpenSSLをファイルã®æš—å·åŒ–ãªã©ã«ã‚‚使ãˆã‚‹ã‚ˆã¨ã„ã†æŒ‡æ‘˜[wazi]。例ãˆã°ã€256ビットéµã®AESã§ãƒ•ã‚¡ã‚¤ãƒ«ã‚’æš—å·åŒ–・復å·åŒ–ã™ã‚‹å ´åˆã€opensslを次ã®ã‚ˆã†ã«ä½¿ã†ã€‚ $ openssl aes-256-cbc -salt -in file-test -out file-test.aes enter aes-256-cbc encryption password: Verifying - enter aes-256-cbc encryption password: $ openssl aes-256-cbc -d -in file-test.aes -out file-test-dec enter aes-256-cbc decryption password:
PHP 5.3.0インストールãƒã‚° | @blog.justoneplanet.info
インストール（アップグレード）を行ã†å‰ã«å¿…ãšã‚µãƒ¼ãƒã®ãƒãƒƒã‚¯ã‚¢ãƒƒãƒ—ã‚’ã¨ã‚‹ã“ã¨ï¼ ■ソースã®å…¥æ‰‹ wget http://jp2.php.net/distributions/php-5.3.0.tar.gz â– è§£å‡ tar -xvf php-5.3.0.tar.gz å‚考 .tarファイルã®åœ§ç¸®ãƒ»å±•é–‹ tarè§£å‡ â– configure configureã¯ç’°å¢ƒã‚’検査ã—ソースコードã®ä¿®æ£ã‚’è¡Œã†ã€‚ ./configure --prefix=/usr --exec-prefix=/usr --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc --datadir=/usr/share --includedir=/usr/include --libdir=/usr/lib64 --libexecdir=/usr/libexec --localst
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
Ｏï½ï½…ｎＳＳＬ:三è±ï¼µï¼¦ï¼ªãƒ‹ã‚³ã‚¹ã€ã‚¿ã‚¤ãƒ ラグを狙ã‚れる - 毎日新èž
Project: OpenBSD / Id: openbsd-e5136d69ece4682e6167c8f4a8122270236898bf - FreshBSD - The latest *BSD Commits
Expired
Gmailã€YouTubeã«ã‚‚影響。壊滅的ãªOpenSSLã®è„†å¼±æ€§ã€ã€ŒHeartbleedã€å•é¡Œã¨ã¯
https://jp.techcrunch.com/2014/04/08/20140407massive-security-bug-in-openssl-could-effect-a-huge-chunk-of-the-internet/
EC2インスタンスã®OpenSSLã®Heartbleed Bug対応 - Qiita
{{#tags}}- {{label}}
{{/tags}}