![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.png){kind=logo}
海外における個人情報流出事件とその対応「SSL/TLSを狙うBEAST攻撃の真実」（1）SSL/TLSセキュリティの危機
国際 海外情報
9月19日付けの「The Register」が、SSLで保護された実質的に全てのWebサイトに重大な脆弱性があり、Webサイトとエンドユーザの間で暗号化を行ってやりとりされるデータをハッカーが復号していると報じている。
記事のタイトルではSSLとあるが、この脆弱性はTransport Layer Security（トランスポート・レイヤー・セキュリティ：TLS）のバージョン1.0以前のものにあるというものだ。TLSはセキュリティを要求される通信のためのプロトコルで、Webサーバとブラウザ間の通信を暗号化する。Security Sockets Layer（SSL）に変わる新しいプロトコルとして登場した。TLSもSSLもインターネットにおける信頼の基礎となっている。
TLS1.0以前というと、現在一般的に使用される、ほとんどのブラウザが実装している。そのため、PayPalでのオンライン上での金銭のやり取りやGmailによるメールの内容までがハッカーにアクセスされる可能性があるとして、セキュリティ専門家の注目を集めている。
●SSL/TLSの脆弱性で懸念される通信保護の危機
この脆弱性に関しては、セキュリティ研究者のThai Duong氏とJuliano Rizzo氏が、ekoparty Security Conferenceで23日に発表した。ekoparty Security Conferenceはアルゼンチンのブエノスアイレスで9月21日から23日の間、開催された。
二人は実際に脆弱性の悪用が可能なことを示すためにデモをしてみせたという。そしてこの方法について、BEAST（Browser Exploit Against SSL/TLSの略）と名付けている。BEASTはJavaScriptによるハッキングツールだ。
コードはWeb上の広告サービスによる悪意ある広告や、リンクをハイジャックしたIFRAMEなどに関連するJavaScriptを、ユーザのブラウザにインジェクトする。そしてBEASTツールの別の部分、ネットワークスニファがアクティブなTLSコネクションを探す。最終的にターゲットのブラウザが送るプレーンテキストのセグメントを中間で取り込み、解析するというものだ。
Duong氏は「他の攻撃ではSSLプロパティの信頼性についての攻撃に焦点を置いているが、BEASTではプロトコルの極秘性について攻撃する」と、BEASTにより新たなセキュリティの懸念が生まれたと警告する。「私たちが知っている範囲で、これまでにHTTPSのリクエストを実際に復号する攻撃はこれまでにない」と述べた。この新しい攻撃ではHTTPSを復号し、セッションを乗っ取るという。
●評価が分かれるBEASTの脅威
BEASTの脅威についてのセキュリティ業界の反応だが、Adam Langley氏は「Hacker News」で「この攻撃について知っていた」と書いている。Google ChromeのSSL/TLSについて取り組んでいたためだ。そして、
※本記事は有料購読会員に全文を配信しました
(バンクーバー新報 西川桂子)
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威Foxit Reader および Foxit Phantom Reader における Use-After-Free とメモリリークにより遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）
Foxit Reader および Foxit Phantom Reader において、メモリ関連の脆弱性を悪用して、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
-
[学術研究] 主要セキュリティ対策の費用対効果ランキング
2016 年暮れに経済産業省から出された「サイバーセキュリティ経営ガイドライン Ver 1.0」の最初のページに載っていた、ある言葉を忘れられない人は少なくないかもしれません。
-
URL 末尾が「死ね死ね死ね」ついに最期の時迎える TLS 1.0 / 1.1（The Register）
廃止は将来的な見通しではなく即座に行われるものだと述べている。
-
6社14種のWAFルールをサブスクリプション利用可、進化拡大する AWS のセキュリティがもたらす影響は
6月1日、AWS Summit Tokyo 2018において、アマゾン General Manager、AWS Perimeter ProtectionのAndrew Thomas氏が、AWSで利用できるセキュリティ機能に関する講演を行った。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
ISC「Kea DHCP server」に、DoS攻撃を受ける脆弱性（JVN）
NEC Aterm の Wi-Fiポータブルルータやネットワークカメラ等複数製品に複数の脆弱性（JVN）
インシデント報告件数は前四半期から横ばい、「Webサイト改ざん」は増加（JPCERT/CC）
対象ソフト15種類の月例セキュリティ情報、早急な適用を呼びかけ（IPA、JPCERT/CC）
「Adobe Flash Player」に攻撃リスクが高い脆弱性、至急の対応を（JPCERT/CC、IPA）
「Adobe Reader」「Acrobat」に複数の脆弱性、アップデートを呼びかけ（JPCERT/CC、IPA）
インシデント・事故 記事一覧へ
日本の仮想通貨市場と関連法 ～ コインチェック事件が与えた影響
誤送信で東海4県の歯科医師と関係者のアドレス2,066名分が流出（科研製薬）
患者の個人情報が記録された可能性がある私用USBメモリを紛失（北里大学病院）
ユーザー入力が可能なコンテンツから不正アクセス、個人情報11,156件が流出の可能性（フレーバーライフ社）
誤送信で20名分の学生情報閲覧可能、入試情報の不適切管理も判明（明石工業高等専門学）
50代元社員のデータ持ち出しを謝罪、事実関係解明を警察に委ねる（日本経済新聞社）
調査・レポート・白書 記事一覧へ
情報漏えいの平均コストは386万ドル、「ビジネス機会の喪失」が高い割合（IBMセキュリティー）
アジアは依然攻撃対象の中心 -- APTレポート（カスペルスキー）
３ヶ月で２０キロの体重変化、営業マンのＹ氏は顔認証システムを通過できたか
自動化の有効性は認識、課題は統合や管理（ジュニパーネットワークス）
マイニングマルウェアが前四半期から629％の大幅増--四半期レポート（マカフィー）
![[学術研究] 主要セキュリティ対策の費用対効果ランキング 画像](/imgs/std_m/24902.jpg)
[学術研究] 主要セキュリティ対策の費用対効果ランキング
研修・セミナー・カンファレンス 記事一覧へ
![[速報] 来週開催のFireEye社イベントの講演資料を事前入手 画像](/imgs/std_m/24956.jpg)
[速報] 来週開催のFireEye社イベントの講演資料を事前入手
「CODE BLUE 2018」を10月29日～11月2日に開催、3種類のトラックを新設（CODE BLUE事務局）
6社14種のWAFルールをサブスクリプション利用可、進化拡大する AWS のセキュリティがもたらす影響は
LAC西本氏ら講演、JAIPA Cloud Conference 2018（JAIPA）
刑事司法と犯罪防止の学生向けハッカソン決勝戦を開催（シマンテック）
![[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました 画像](/imgs/std_m/22971.jpg)
![[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました 画像](/imgs/std_m/22623.jpg)
![[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ 画像](/imgs/std_m/22570.jpg)
![[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ 画像](/imgs/std_m/21969.jpg)
