[B! security][openssl] masutaka26のブックマーク

「DROWN攻撃」の脆弱性が発覚、HTTPSサイトの33％に影響

攻撃を受ければ暗号を解除され、通信の内容を傍受される恐れがある。影響を受けるWebサイトには、日本の大手も含まれる。インターネットの通信暗号化に使われるSSL/TLSプロトコルを使って通信を暗号化しているHTTPSサイトなどに深刻な脆弱性が発見された。研究チームはこの脆弱性を「DROWN」と命名し、3月1日に詳しい情報を公開。全HTTPSサイトの33％が影響を受けるとして、管理者に対応を急ぐよう呼び掛けている。研究チームが専用サイトを通じて公開した情報によると、DROWN攻撃の脆弱性は、多くのサーバがTLSに移行しながら、設定ミスが原因で依然としてTLSの前身であるSSLv2もサポートしていることに起因する。これまでは、SSLv2をサポートしているだけではセキュリティ問題が生じるとは考えられていなかったが、調査の結果、簡単に攻撃できてしまうことが判明し、サーバやクライアントが危険にさ

masutaka26 2016/03/02

リンク

SSLの脆弱性で日本の大手サイトを含む全世界1100万以上のHTTPSサイトが攻撃を受け得ると判明

SSL/TLSによって通信を暗号化しているHTTPSサイトに簡単に攻撃される脆弱性があることがセキュリティ研究者によって発表されました。この脆弱性をついた攻撃「DROWN」を受ける可能性があるサイトには、毎日新聞、任天堂、はてな、LINEなどの日本の大手サイトも含まれています。 DROWN: Breaking TLS using SSLv2.pdf (PDFファイル)https://drownattack.com/drown-attack-paper.pdf DROWN Attack https://drownattack.com/ 「Decrypting RSA with Obsolete and Weakened eNcryption(DROWN)」はSSLv2に含まれる脆弱性で、この脆弱性を悪用されるとクロスプロトコル攻撃によってTLSセッションの暗号化が解除(復号)されて通信が傍受

masutaka26 2016/03/02

リンク

OpenSSLの脆弱性CVE-2016-800(DROWN)やCVE-2016-0702(CacheBleed)についてまとめてみた - piyolog

2016年3月1日(現地時間)、OpenSSL プロジェクトは脆弱性の愛称「DROWN」や「CacheBleed」を含む8件の脆弱性情報を公開し、これら影響を受けるものの修正を行った最新版をリリースしました。ここでは関連情報をまとめます。脆弱性情報概要注意喚起 OpenSSL の複数の脆弱性に関する注意喚起 - JPCERT/CC SSLv2 DROWN Attack - US-CERT OpenSSL Projectの公開情報 Forthcoming OpenSSL releases OpenSSL Security Advisory ［1st March 2016］ OpenSSL version 1.0.1s published OpenSSL version 1.0.2g published An OpenSSL User’s Guide to DROWN 2016年3月1日公

masutaka26 2016/03/02

リンク

OpenSSLにまたもや脆弱性 - アップデート推奨

OpenSSL is an open source project that provides a robust, commercial-grade, and full-featured toolkit for the TLS and SSL protocols OpenSSLプロジェクトチームは2月25日(ドイツ時間)、「[openssl-announce] Forthcoming OpenSSL releases」において、、OpenSSLに複数の脆弱性が存在すると伝えた。脆弱性は次に公開される「OpenSSL version 1.0.2g」および「OpenSSL version 1.0.1s」で修正される見通しで、修正版は協定世界時で3月1日の13時から17時の間に公開される予定。今回発表された脆弱性は重要度が高いと位置づけられており、公開後は迅速にアップデートを適用することが望ま