Heartbleedとはなんだったのか。Heartbleedとはなんだったのか。LINE2014.06.22世間を賑わせたHeartbleedとはなんだったのか。世間を賑わせたHeartbleedとはなんだったのか。拡張機能に存在する情報漏えいの脆弱性(CVE-2014-0160)が4月に見つかり世間を騒がせました。落ち着いているものですが、ちょっと振り返ってみます。HeatbeatとはOpenSSLにはHeartbeatという拡張機能があります。この拡張機能は、実際の通信が発生しない間においてもSSLやTLSのセッションを維持するというもの。これにより、まだ、コンピュータ同士が通信状態としては接続されいている状態となり、通信が出来る状態と判断されます。そのため、最初の接続が切断されても、もう一度接続を確立する際に資格情報を入力する手間を省くことができます。実際の接続確立の手順は以下の通り。HeartbeatがOpenSSLサーバにメッセージを送信OpenSSLがメッセージを送信者に戻す一体何が問題なのか?実はこのメッセージというのがくせ者で、そのデータには最大64kbのデータパケットと、そのサイズ情報が含まれています。Heartbeatの脆弱性を悪用して、このサイズの情報を偽装することが出来てしまうんです。1kbを64kbのように。なんでこれが問題になるかというとHeartbeatメッセージを処理する方法に問題があるわけです。OpenSSLは送られてきた実際のデータとデータサイズの一致性の検証を行わないんですね。個人のデータ、さらにセッション鍵や秘密鍵が含まれてしまう恐れがあるわけです。これがHeartbleedの脆弱性ですね。この仕組みからだと、最大でも1回に63kbのデータを受信できることになる訳ですが、これを繰り返し繰り返し行うことで、多くのデータを入手することにつながり、重要なデータを盗み出すことが出来る可能性がある訳です。対応方法は?SSLにおける最大の問題は、秘密鍵を盗まれた場合のことです。この秘密鍵が盗まれる可能性はきわめて低いようです。理由としては、通信のデータは新しいデータの方が古いデータより前に格納されるもの。秘密鍵情報というのは、通常メモリ上で後ろの方に格納されるので、アクセスされる可能性がきわめて低いとのこと。いえ、少しでもリスクがある場合にはセキュリティの観点から「対処」することが求められるわけです。よって、OpenSSLを利用しているサーバでは、SSLサーバ証明書の取得し直しが推奨されたわけです。ここで対象となるのは、OpenSSLの1.0.1から1.0.1f。この間のバージョンでもディストリビュータによっては、パッチを当てて対処しているものもあるので一概にバージョンだけで判断できないことがあります。分からない場合は、サーバ会社などに確認する必要があります。不安であれば、1.0.1gへアップデートするんですね。OpenSSL側の対処が終わったら、秘密鍵を生成しなおしてSSLサーバ照明書の再発行をします。ベンダによっては有償かもしれません。手続き方法は各ベンダに聞いてください。ちなみに、再発行するときはちゃ〜んと秘密鍵の作り直しからする必要がありますので、注意してくださいね。CSRは秘密鍵が一緒でもいくつでも作れます。秘密鍵は同じで、CSRだけ作り直して再発行なんて意味のないことがないように。イントラネットでしか使ってない、なんてこともあるかもしれませんが、そのイントラ上に悪意持った人間がいないとも言い切れませんので、対処することが推奨ですね。これの対象はOpenSSLですからね。IISやJavaなんか使っている場合は対処の必要ありませんので。管理人のサルはこんな人です。LINE登録すればブログ更新が通知されますサル世界一わかりやすいセキュリティ関連記事Newsシマンテックの幹部が証言。公聴会で、北朝鮮が2016年2月にバングラデシュ中央銀行にサイバー攻撃を仕掛け、約92億円を盗んだ疑いがあると証言したそうです。シマンテックの幹部が証言。北朝鮮がサイバー攻撃で92...Newsレノボ製ノートパソコンが危ない!スーパーフィッシュの不具合でパスワード流出か?世界の1000万台に影響があるかもしれないという、レノボ製のノートPCに搭載されているアプリ「スーパーフィッシュ」はかなり危ないようです。その確認方法と、対処方法をチェックしましょう。レノボ製ノートパソコンが危ない!スーパーフィ...Newsあなたの動画を入手した。この動画をばらまかれたくなければ。あなたの動画を入手した。この動画をばらまかれたくなければ。この脆弱性を利用する攻撃が増加しているとのこと。PhishLabsというところのレポートによる...NewsmixiやLINEの乗っ取りで被害者続出!あなたは大丈夫?あなたは大丈夫?LINEやmixiのアカウントが乗っ取られて被害者が出ているって。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。ServerとIISの対比表2015.05.132019.03.13ルート証明書とは?簡単にわかるルート証明書の役割2014.06.202019.03.14スマートフォン(iOS、Android)でオレオレ証明書を使う!2018.11.152019.04.25カテゴリーNewsSSLTipsその他セキュリティソフト。