検索
連載

ちっともかわいくなかった、セキュリティ界の「POODLE」セキュリティクラスター まとめのまとめ 2014年10月版(1/3 ページ)

2014年10月は、SSLv3の脆弱性、通称「POODLE」の対応に追われました。各種バグを見つけて報奨金を得るバグ・ハンターにも注目が集まります。

Share
Tweet
LINE
Hatena
「セキュリティクラスター まとめのまとめ」のインデックス

連載目次

 2014年10月のセキュリティクラスターは、2014年9月末からの「ShellShock」を引きずっている人が多かったようですが、これを吹き飛ばすかのように、SSLv3の大きな脆弱性「POODLE」が発見され、この対処に追われた人が多く見られました。

 そしてまたも、パスワードの定期変更の話題が沸き上がり、今度こそ一応の終結が見えそうな雰囲気でした。その他にも10月11日に開催された「PHPカンファレンス2014」において、セキュリティサイドの徳丸浩さんとPHPサイドの大垣靖男さんの直接バトルや、越後湯沢でのプライバシーフリークカフェなどのイベントも盛り上がりを見せていました。

SSLv3の脆弱性「POODLE」が牙をむく

 2014年になってOpenSSLにおいて「Heartbread」が話題になるなど、これまでになく注目を集めているSSL関連ですが、2014年10月14日にはSSLバージョン3にまたまた大きな脆弱性があることが分かり、タイムラインでも大きな話題となりました。

 通称「POODLE」と呼ばれるこの脆弱性では、中間者攻撃によってSSLv3.0による暗号化されたデータのやり取りが解読される恐れがあります。

 不幸中の幸いとして、SSLv3はもう古いプロトコルです。ほとんどのサイトではTLSv1.2など新しいプロトコルを使用していますが、脆弱なサイトでは攻撃者によってSSLv3を使用するよう強制されることがあるため、結果として盗聴が成功する場合があります。

 対策としては、ユーザー側の方からSSLv3を使わないようにブラウザーを設定する、またはサービス提供者側の方からサーバーがSSLv3を使用しないか「TLS_FALLBACK_SCSV」の設定を行うよう対応すればいいようです。ブラウザー側もサーバー側もSSLv3をサポートしているか検査できるサイトが立ち上がっており、これらの情報をツイートする人もいました。

 とはいえ、サーバーもブラウザーも、アップデートや設定変更を行う必要があります。どちらにしてもユーザーの手によりアップデート作業を行ったり、システムの動作確認を行ったりと大変な手間がかかります。またOSやアプリケーション、機器によってはバージョンアップが不可能となるものもあるため、この問題に頭を抱えているセキュリティクラスターの人もいました。

       | 次のページへ

Copyright © ITmedia, Inc. All Rights Reserved.

Security & Trust 記事ランキング

  1. 約9割の経営層が「ランサムウェアは危ない」と認識、だが約4割は「問題解決は自分の役割ではない」と考えている Vade調査
  2. OpenAIの生成AIを悪用していた脅威アクターとは? OpenAIが脅威レポートの最新版を公開
  3. セキュリティ専門家も「何かがおかしいけれど、攻撃とは言い切れない」と判断に迷う現象が急増 EGセキュアソリューションズ
  4. AIチャットを全社活用している竹中工務店は生成AIの「ブレーキにはならない」インシデント対策を何からどう進めたのか
  5. 人命を盾にする医療機関へのランサムウェア攻撃、身代金の平均支払額や損失額は? 主な手口と有効な対策とは? Microsoftがレポート
  6. 「このままゼロトラストへ進んでいいの?」と迷う企業やこれから入門する企業も必見、ゼロトラストの本質、始め方/進め方が分かる無料の電子書籍
  7. 6年間でAndroidにおけるメモリ安全性の脆弱性を76%から24%まで低減 Googleが語る「Safe Coding」のアプローチと教訓とは
  8. MicrosoftがAD認証情報を盗むサイバー攻撃「Kerberoasting」を警告 検知/防御方法は?
  9. 英国政府機関が取締役にサイバーリスクを「明確に伝える」ヒントを紹介
  10. Google、「パスキー」のアップデートを発表 新たに導入された「パスワードマネジャーPIN」とは?
ページトップに戻る