「SSL」関連の最新 ニュース・レビュー・解説 記事 まとめ

Cloud Nativeチートシート（29）：
ついSSL/TLS証明書の更新を忘れちゃう人へ――Kubernetesの「cert-manager」で始める証明書管理自動化入門
Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する連載。今回は、cert-managerを利用したIngressによる自己署名証明書とLet's Encryptで発行した証明書の利用方法を解説し、Gateway APIでcert-managerを利用する方法を紹介する。（2024/10/25）

すぐに手を打たなければ
Googleが提案した「SSL証明書の有効期限短縮」　今、すべきことは
2025年、SSL証明書の有効期限が大幅に短縮されるとみられている。対策は必ずしも容易ではなく、十分な検討が必要になる。どうすればいいのか。（2024/10/17）

IoTセキュリティ：
協業によりSSL/TLS認証や暗号化を容易にするIoTソリューションを提供
GMOグローバルサインは、暗号ライブラリプロバイダーのwolfSSL Japanとの協業を発表した。協業により、SSL/TLS通信による認証や暗号化を容易にするIoTセキュリティソリューションの提供を開始する。（2024/7/9）

Tech TIPS：
【Windows 10／11】WindowsにOpenSSL Ver.3をインストールして証明書を取り扱う
電子証明書やSSL／TLSのための標準的なツールキット「OpenSSL Ver.3（バージョン3）」。しかしWindows OSには標準でインストールされていない。Windows OSでOpenSSL Ver.3を利用するのに必要なインストール手順と注意点を解説する。（2024/6/19）

セキュリティニュースアラート：
「FortiOS」および「FortiProxy」のSSL-VPNトンネルモードに重大な脆弱性　急ぎ対処を
Fortinetは「FortiOS」および「FortiProxy」のSSL-VPNトンネルモードに脆弱性があることを報告した。これを悪用されるとIPアドレスを偽装してセキュリティ制御を回避する可能性がある。（2024/5/17）

クライアント側QUICやTLSハンドシェイクにおける証明書圧縮に対応：
OpenSSL Project、「OpenSSL 3.2.0」を公開
OpenSSL Projectは、クライアント側QUICやTLSハンドシェイクにおける証明書圧縮に対応した「OpenSSL 3.2.0」を公開した。（2023/12/14）

Tech TIPS：
【Azure】デプロイ時にApp ServiceのSSLサーバ証明書をKey Vaultから自動インポートする
「Azure Key Vault」でSSLサーバ証明書を管理する場合、App ServiceによるWebサイトやWeb APIをデプロイする時に、Key Vaultから証明書を自動でインポートしたいところだ。そのためのARM（Azure Resource Manager）テンプレート（Bicep）を注意点とともに紹介する。（2023/11/29）

Tech TIPS：
【Azure】Key Vault（キーコンテナ）にSSLサーバ証明書をインポートして利用する（App Service編）
App ServiceによるWebサイトやWeb APIにAzure外で発行したSSLサーバ証明書を割り当てる場合、App Serviceに直接インポートすると更新時に手間が掛かりやすい。機密情報を安全に取り扱える「Azure Key Vault」を使って、効率良く証明書を更新できるようにしよう。（2023/11/15）

Cybersecurity Dive：
Fortinet製品の脆弱性を悪用する脅威アクター「Volt Typhoon」の実態
Fortinetは、FortiOSおよびFortiProxyの「SSL-VPN」機能におけるヒープベースのバッファオーバーフローの脆弱性を悪用することで、サイバー攻撃者がデバイスを制御できる可能性があると警告した。（2023/7/15）

約33万のFortinet製SSL VPNインタフェースが脆弱性を放置している
Fortinetは2023年6月にFortiOSに存在するヒープバッファーオーバーフローの脆弱性に対処したアップデートの提供を開始した。しかし1カ月たってもアップデートの適用状況は好ましくない。（2023/7/5）

AI・機械学習の用語辞典：
自己教師あり学習（Self-Supervised Learning：SSL）とは？
用語「自己教師あり学習」について説明。ラベルなしの大量データセットを使って、プレテキストタスク（疑似的なラベルが自動生成された代替のタスク）を解くための事前学習を行う学習方法のこと。その後、ターゲットタスクを解くために、（少量の）別のデータセットを使って事前学習済みモデルをファインチューニングする。（2023/2/15）

FortiOSにCVSS v3スコア9.3の脆弱性　既に悪用を確認済みのため急ぎ対処を
FortinetはFortiOSのSSL-VPN機能にヒープベースのバッファオーバーフローの脆弱性が存在すると伝えた。該当製品を使用している場合、直ちにアップデートを適用してほしい。（2022/12/14）

OpenSSLに“脅威度HIGH”の脆弱性　リモートコード実行の可能性も　修正版は公開済み
オープンソースライブラリ「OpenSSL」に脅威度「HIGH」の脆弱性が見つかった。悪用されると、OpenSSLを使うシステムをクラッシュさせられる可能性がある。開発チームは早急なアップグレードを推奨している。（2022/11/2）

LED照明：
照明器具18.1億台の“SSL化率100％”を目指すJLMAの成長戦略、次世代型「Lighting 5.0」を普及
日本照明工業会（JLMA）では2019年に照明成長戦略「LIGHTING VISION 2030」を発表。カーボンニュートラルとSociety 5.0の実現に向けて、さまざまな取り組みを展開している。加速度的に達成していくため、2022年10月19日には新たなコミュニケーション戦略を打ち出した。（2022/11/2）

酒造会社にランサム攻撃　VPN機器の脆弱性を悪用　商品発送が一時見合わせに
酒造会社の日本盛が、第三者による不正アクセスとランサムウェアの設置を受け、社内システムに障害が発生した。攻撃者は日本盛が導入していたSSL VPN機器の脆弱性を悪用して社内システムに侵入したとみられる。（2022/10/26）

SSL/TLS処理でのエラー発生　Microsoftが定例外の累積更新プログラムを配信
Microsoftが定例外の累積更新プログラム「KB5020387」を配信した。「Windows 11, version 21H2」を対象としている。SSL/TLS関連の処理エラーが発生している場合はアップデートを適用してほしい。（2022/10/21）

OpenSSLにリモートコード実行の脆弱性　迅速にアップデートの適用を
OpenSSLに複数の脆弱性が見つかった。そのうち1つはRCE（リモートコード実行）を引き起こす可能性がある深刻度「重要」（High）に分類されている。該当バージョンを使用している場合、迅速にアップデートを適用してほしい。（2022/7/7）

QNAP製NASにOpenSSL起因の脆弱性　現時点でアップデートは未提供
QNAP製NASがOpenSSLにおける無限ループの脆弱性の影響を受けることが判明した。現時点ではアップデートが提供されていないため、今後の続報が待たれる。（2022/4/2）

GoDaddyにデータ侵害、最大120万人のWordPressホスティングユーザーの個人情報が漏えい
大手ドメイン登録事業者GoDaddyは顧客のWordPressのシステムにデータ侵害があったと発表。最大120万人分の個人データが流出した可能性がある。メールアドレス、管理者番号、sFTP、SSL秘密鍵などにアクセスされた。（2021/11/23）

TechTarget発　世界のITニュース
無料SSLサーバ証明書発行のLet's Encryptに脆弱性　犯罪者が悪用する“穴”とは？
無料でSSLサーバ証明書を発行する「Let's Encrypt」に脆弱性が見つかった。不正発行を防ぐための仕組みにある落とし穴を、サイバー犯罪者はどう悪用しているのか。（2021/9/25）

8万7000台に影響　「Fortigate」のSSL-VPNデバイスの認証情報が漏えい
「Fortigate」のSSL-VPNデバイスの認証情報がダークウェブに公開されたことが判明した。8万7000台の製品が影響を受ける見込みだ。迅速にアップデートを適用してほしい。（2021/9/13）

OpenSSLにDoS攻撃を引き起こす脆弱性　迅速なアップデートの適用を
US-CERTは、広く利用されるSSL/TSLライブラリ「OpenSSL」に脆弱性が発見されたと伝えた。脆弱性を利用されるとサービス運用妨害（DoS：Denial of Service）が引き起こされる危険性がある。（2021/8/27）

サイバートラスト、マルチドメイン証明書を提供へ　厳格な認証レベルに対応
サイバートラストは、SSL／TLSサーバ証明書「SureServer Prime」のマルチドメイン証明書を2021年5月27日に提供開始する。認証レベルに応じて、「SureServer Prime MD」と「SureServer EV Prime MD」の2種類を用意した。（2021/4/28）

自社のテレワークPCは安全と言い切れる？
SSL VPNの脆弱性も狙われる――識者が語るテレワーク環境の最新脅威と対処法
新型コロナウイルス感染症の影響でテレワークが普及する中、SSL VPNの脆弱性を突く標的型ランサムウェア攻撃や、拡散を狙うばらまきメール攻撃など新たな脅威が顕在化している。これらに企業はどう対処すべきか、有識者が語り合った。（2021/3/29）

OpenSSLに「重大」な脆弱性　DoS攻撃のリスクも
さまざまなシステムで広く利用されるOpenSSLに新たな脆弱性が見つかった。DoS攻撃につながりかねないリスクがあるあため、アップグレードや修正バージョンの入手を急ぎたい。（2020/12/10）

富士通SSL、特権ID管理「CyberArk Privilege Cloud」を販売開始　オンプレからクラウドまで包括的な管理を実現
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、特権ID管理のSaaS「CyberArk Privilege Cloud」の販売を開始した。併せて専任コンサルタントによる支援プログラムを提供し、導入前のカウンセリングから運用環境に合わせたカスタムプラグイン開発までワンストップで実施できる。（2020/8/11）

「順守項目だが設定が難しいサーバ」のために「推奨項目」を追加：
TLS 1.3を採用しSSL 3.0を禁止に　IPAが「TLS暗号設定ガイドライン」の第3版を公開
IPAセキュリティセンターは、WebサーバでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」の第3版を公開。暗号技術評価プロジェクトのCRYPTRECが記載内容を第2版から全面的に見直した。（2020/7/8）

パロアルトネットワークス株式会社提供ホワイトペーパー
暗号化のリスクを最小化、SSL復号のための「10のベストプラクティス」とは？
個人情報の送受信に不可欠な「暗号化」だが、トラフィックの可視性の欠如を悪用したサイバー攻撃も増えている。そこで対策として取り入れたい「SSL復号」のアプローチについて、メリットや導入のためのベストプラクティスを紹介する。（2020/7/7）

Office 365も悲鳴を上げた：
PR：常時SSL化とSSL可視化の正しい運用方法
通信を暗号化するSSL化が不可欠な昨今、見えないというデメリットを悪用してマルウェア感染やWebサイト改ざんによる攻撃を試みる攻撃者が現れている。SSL化された通信を可視化しセキュリティ対策製品による検閲／防御をする手だてはないのか。（2020/3/17）

BGP攻撃などを困難に：
SSL/TLS証明書の「不正発行」を防ぐ多視点ドメイン検証、Let's Encryptが開始
SSL/TLS向けのサーバ証明書を無料で発行している認証局「Let's Encrypt」は、BGPの乗っ取りのような攻撃に対抗するため、多視点ドメイン検証を開始した。証明書の不正発行につながる攻撃を抑え込む役に立つという。（2020/2/27）

この頃、セキュリティ界隈で：
「安全な接続」の普及に伴う負担急増、Microsoftも対応に苦慮？
SSL証明書でMicrosoftが大失態。その背景を解説する。（2020/2/20）

SSL通信も量子コンピュータの前では無意味に？　今から備えるべき「耐量子コンピュータ暗号」とは
約10年後に訪れると見込まれる量子コンピュータの実用化の際には、現在の暗号の一部は解読されてしまう恐れがある。デジサート・ジャパンの林正人さんは、「量子コンピュータの脅威を正しく認識し、耐量子コンピュータ暗号の導入に今から備えるべき」という。（2019/11/15）

製造ITニュース：
IoT機器のセキュリティを開発から運用まで支援、富士通SSLがサービスを提供開始
富士通ソーシアルサイエンスラボラトリは、IoT機器へのセキュリティ対策を支援する「IoTセキュリティサービス」の提供を開始した。（2019/10/29）

富士通SSL、DX支援を強化　DXデザインや顧客獲得支援も――ソリューション群「PoweredSolution」を刷新
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、自社ソリューション群「PoweredSolution」を刷新し、5カテゴリーで製品・サービスを提供する。デジタルトランスフォーメーション（DX）デザインの共創や、顧客エンゲージメントの獲得支援、データ活用支援など、DX推進支援策を強化した。（2019/10/3）

山市良のうぃんどうず日記（162）：
「Invoke-WebRequest」コマンドレットをTLS 1.2対応にする2つの方法
WebサイトやWebアプリのセキュリティの要である「SSL／TLS」は、SSL 3.0以前のレガシーなプロトコルの脆弱（ぜいじゃく）性が問題視され、より新しいプロトコルに移行することが求められてきました。SSLの後継であるTLS 1.0／1.1も脆弱性があることが明らかになり、最近ではTLS 1.2以降を要求するWebサイトやサービスも増えてきています（例：2019年7月下旬のTwitterサービスなど）。今回は、TLS 1.2以降への移行の影響で失敗するようになった「Invoke-WebRequest」コマンドレットの回避策について。（2019/9/25）

パロアルトネットワークス株式会社提供ホワイトペーパー
暗号化トラフィック内の脅威を“復号なし”で検知する新たなアプローチとは？
SSLが普及する一方、攻撃者が防御を回避する方法として暗号化を利用していることは認識しておかなくてはならない。これに対抗するには、暗号化トラフィック内の脅威を“復号なし”で発見できる、新たなテクノロジーの採用が不可欠だ。（2019/9/18）

パロアルトネットワークス株式会社提供ホワイトペーパー
SSL／TLSによる暗号化トラフィックの課題を解消、“復号”に最適な方法とは？
SSL／TLSプロトコルで暗号化されたトラフィックは、情報の保護やコンプライアンスに重要な一方、トラフィック内の脅威を見えなくするリスクも抱えている。それを解消するには、暗号化された通信を“復号”する能力が必要になる。（2019/9/18）

「量子安全」なテープストレージも：
IBM、量子コンピューティング時代に対応した安全な暗号サービスをクラウドで提供へ
IBMは、将来の量子コンピューティング時代を見越した一連のサイバーセキュリティの取り組みを発表した。クラウドで転送中のデータの暗号化や、TLS/SSLの実装の強化などを2020年までに進める。量子コンピュータによる暗号解読に対応したテープストレージも開発した。（2019/8/27）

半径300メートルのIT：
URLバーの組織名表示を信用できる？ 変化するEV SSLサーバ証明書の取り扱い方
フィッシング詐欺サイトを見抜く方法として何度も紹介してきた「EV SSL証明書」に、大きな変化が起きようとしています。「鍵マークさえあれば安心」「組織名が表示されていれば安全」という先入観に付け入る悪意への対抗策を、皆さんは認識されているでしょうか？（2019/8/20）

Microsoft Azure最新機能フォローアップ（87）：
Azureの各種サービスでTLS 1.2対応が必須要件に
プロトコルの脆弱（ぜいじゃく）性の問題から、レガシーなSSL 3.0やTLS 1.0／1.1を無効化し、より安全なTLS 1.2以降を使用することが推奨されています。常時SSL化され、TLS 1.2以降での接続を要求するWebサイトやサービスも増えてきました。SSL／TLSはMicrosoft Azureのサービスへの接続やデータ転送の保護に重要なプロトコルですが、業界の流れと同様に、各サービスでレガシーなプロトコルの廃止が進んでいます。（2019/8/8）

プライバシーも悪意も見えない時代
悪意のある通信も暗号化される、常時SSL時代のセキュリティ対策
SSLなどの暗号化プロトコルの使用が増加すると、悪意のあるデータまでが暗号化されて検知が難しくなるという課題が顕在化してきた。（2019/8/2）

ITりてらしぃのすゝめ：
その通信は安全ですか？　本当は怖い「SSLサーバ証明書」の話
「接続はプライベートではありません」――Webブラウザ上でこんなメッセージを見たことはありませんか？　今回は「SSLサーバ証明書エラー」の危険性について解説します。（2019/3/1）

IoTに耐量子暗号技術を：
PR：シマンテックからSSL／TLS／PKI事業を引き継いだデジサートが目指すもの
DigiCert（デジサート）はサーバ証明書の最大手として知られている。それだけでなく、サーバ向けの証明書技術の一部を共用してIoT向けのマネージドサービスも展開している。製造業から医療機関まで幅広いニーズがあるのだという。今後はブロックチェーンや量子時代の暗号を利用した次世代のデバイス認証の開発にも取り組む。銀座の新オフィスオープンに合わせて来日したCEOとCTOに同社の強みと目指すところを聞いた。（2018/11/28）

IoTセキュリティ基礎解説：
組み込み技術者向けTLS1.3基礎解説（前編）：まずはSSL/TLSについて知ろう
インターネット接続機器のセキュリティ技術として広く用いられているTLSの最新バージョン「TLS1.3」は、IoTデバイスを強く意識して標準化が進められた。本稿では、組み込み技術者向けにTLS1.3の基礎を解説する。前編ではまず、TLS1.3のベースとなる一般的な暗号化通信技術であるSSL/TLSについて説明する。（2018/9/18）

Google Chrome完全ガイド：
Google ChromeでWebサイトのSSLサーバ証明書を調査、確認する
デスクトップ版Google Chromeを活用すると、WebサイトのSSLサーバ証明書を簡単に調べることができます。Webサイト管理者を対象に、その手順や注意点を説明します。（2020/2/5）

セキュリティクラスタ まとめのまとめ 2018年7月版：
災害時のフリーWi-Fi、何が危ない？
7月のセキュリティクラスタは「豪雨災害とフリーWi-Fiスポットのセキュリティ」「不正アクセスで逮捕された若者がホワイトハッカーとして復活」「Chromeと非SSLサイトの警告表示」に注目が集まりました。（2018/8/10）

コンパイル後のサイズが3.6KBと軽量：
wolfSSL、MQTT v5.0に準拠したMQTTクライアント「wolfMQTT」を発表
wolfSSLは、新しい通信プロトコル「MQTT v5.0」をサポートする、MQTTクライアント「wolfMQTT」を発表した。（2018/8/7）

うちの規模じゃ常時SSLは無理？
高額な製品を使わない「常時SSL実現　虎の巻」　その内容とは
常時SSLは、もはや当たり前のものとして認識されている。そのためには高額な製品導入や、Webサーバにさまざまな設定が必要だ。しかし今、その「常識」に変化が起きている。（2018/7/31）

組み込み開発ニュース：
MQTTプロトコルのバージョン5.0をサポートする新クライアント
wolfSSLは、新しい通信プロトコル「MQTT v5.0」をサポートする、MQTTクライアント「wolfMQTT」を発表した。（2018/7/25）

PR：常時SSL化時代の注目ソリューション――高信頼、高コスパ、国産のJPRSサーバー証明書に死角なし
“常時SSL化”はシステム管理者にとって無視できないトレンドの1つ。サーバー証明書の選び方から導入までを完全解説。（2018/5/23）