海外における個人情報流出事件とその対応「SSL/TLSを狙うBEAST攻撃の真実」（1）SSL/TLSセキュリティの危機
●SSL/TLSセキュリティの危機 9月19日付けの「The Register」が、SSLで保護された実質的に全てのWebサイトに重大な脆弱性があり、Webサイトとエンドユーザの間で暗号化を行ってやりとりされるデータをハッカーが復号していると報じている。
国際
海外情報
9月19日付けの「The Register」が、SSLで保護された実質的に全てのWebサイトに重大な脆弱性があり、Webサイトとエンドユーザの間で暗号化を行ってやりとりされるデータをハッカーが復号していると報じている。
記事のタイトルではSSLとあるが、この脆弱性はTransport Layer Security（トランスポート・レイヤー・セキュリティ：TLS）のバージョン1.0以前のものにあるというものだ。TLSはセキュリティを要求される通信のためのプロトコルで、Webサーバとブラウザ間の通信を暗号化する。Security Sockets Layer（SSL）に変わる新しいプロトコルとして登場した。TLSもSSLもインターネットにおける信頼の基礎となっている。
TLS1.0以前というと、現在一般的に使用される、ほとんどのブラウザが実装している。そのため、PayPalでのオンライン上での金銭のやり取りやGmailによるメールの内容までがハッカーにアクセスされる可能性があるとして、セキュリティ専門家の注目を集めている。
●SSL/TLSの脆弱性で懸念される通信保護の危機
この脆弱性に関しては、セキュリティ研究者のThai Duong氏とJuliano Rizzo氏が、ekoparty Security Conferenceで23日に発表した。ekoparty Security Conferenceはアルゼンチンのブエノスアイレスで9月21日から23日の間、開催された。
二人は実際に脆弱性の悪用が可能なことを示すためにデモをしてみせたという。そしてこの方法について、BEAST（Browser Exploit Against SSL/TLSの略）と名付けている。BEASTはJavaScriptによるハッキングツールだ。
コードはWeb上の広告サービスによる悪意ある広告や、リンクをハイジャックしたIFRAMEなどに関連するJavaScriptを、ユーザのブラウザにインジェクトする。そしてBEASTツールの別の部分、ネットワークスニファがアクティブなTLSコネクションを探す。最終的にターゲットのブラウザが送るプレーンテキストのセグメントを中間で取り込み、解析するというものだ。
Duong氏は「他の攻撃ではSSLプロパティの信頼性についての攻撃に焦点を置いているが、BEASTではプロトコルの極秘性について攻撃する」と、BEASTにより新たなセキュリティの懸念が生まれたと警告する。「私たちが知っている範囲で、これまでにHTTPSのリクエストを実際に復号する攻撃はこれまでにない」と述べた。この新しい攻撃ではHTTPSを復号し、セッションを乗っ取るという。
●評価が分かれるBEASTの脅威
BEASTの脅威についてのセキュリティ業界の反応だが、Adam Langley氏は「Hacker News」で「この攻撃について知っていた」と書いている。Google ChromeのSSL/TLSについて取り組んでいたためだ。そして、
※本記事は有料購読会員に全文を配信しました
(バンクーバー新報 西川桂子)
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威Microsoft Windows の cldflt.sys における検証不備により管理者権限を用いた任意のファイルの作成が可能となる脆弱性（Scan Tech Report）
2020 年 12 月に、Microsoft Windows で管理者権限で任意のファイルが作成可能となる脆弱性が報告されています。
-
Bugtraq の死と復活、歴史あるコミュニティにアクセンチュアがとった処遇
先週の終わりを画したのは、敬愛すべき情報セキュリティメーリングリストの Bugtraq が月末に閉鎖されるというニュースだった。
-
Salesforce が共和党へのサービス提供を停止した仔細
民主主義統治への擾乱を助長する組織に対して距離を置くことを決めた IT 企業の列に、Amazon、Twitter、Facebook に続いてクラウド CRM（顧客管理システム）最大手の Salesforce が新たに加わった。
-
Sysinternals Suite PsExec において名前付きパイプのハイジャックによりSYSTEM 権限が奪取可能となる手法（Scan Tech Report）
Microsoft OS の遠隔管理ツールである Sysinternals Suite の PsExec に、SYSTEM 権限の奪取が可能となる手法が公開されています。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
dnsmasqにDNSpooqと名付けられた脆弱性、組み込みシステムやネットワーク機器が対象となる場合も
Microsoft Windows の cldflt.sys における検証不備により管理者権限を用いた任意のファイルの作成が可能となる脆弱性（Scan Tech Report）
NEC製Aterm WF800HP、Aterm WG2600HP および Aterm WG2600HP2に複数の脆弱性
2020年 企業へのサイバー攻撃動向総括 ～ 盗まれた認証情報はいくらで売りに出されるか
Oracle製品のクリティカルパッチアップデートに関する注意喚起
GROWIにXSSの脆弱性、最新版へのアップデートを呼びかけ
インシデント・事故 記事一覧へ
メールアドレスの伝達ミス、コロナウイルス感染者４１４名分の個人情報を誤送信
三井住友建設のバックアップデータに不正アクセス、フィルタ設定不備を突く
カゴメキャンペーンサイト、LINEでログインした個人情報が閲覧可能に
自治体のWebサーバにメール送信機能をインストール、迷惑メール送信踏み台として悪用
FXサービスで誤送信、12月にやり取りした顧客情報ファイルを誤ってメール添付
中学校事務主任44歳 児童ポルノ動画データ販売、懲戒免職
調査・レポート・白書 記事一覧へ
Software ISAC が選んだ開発者が注目すべき 2020 年 10 大ニュース
中・露・トルコ・セルビア 他、国家ぐるみの情報操作ツイッターアカウント５万件凍結
公取委 vs プラットフォーマー、Amazon 他 独占禁止法違反事例 報告書
日本も457台が被害に、テレワークがもたらしたPCからの情報窃取の現実
JPCERT/CC 活動四半期レポート公開、VPN製品の脆弱性への取り組みを報告
VPN製品に関する脆弱性対策情報の深刻度別割合、「危険」「警告」で95％を占める
研修・セミナー・カンファレンス 記事一覧へ
日本企業12社のサイバーセキュリティ責任者や実務担当者が登壇「PwC’s Digital Trust Forum 2021」開催
防衛省主催サイバーコンテスト募集開始、ラック受託でオンライン CTF 開催
福井県鯖江市で学生向けワークショップ開催、川口洋氏登壇や初心者向け CTF 開催も
我が社の IoT 活用の課題 総洗い出し ～ JSSEC IoT セキュリティチェックシート活用方法
SPFにまだできること ～ オランダ徴税税関管理局が採用するフィッシングメール対策
