海外における個人情報流出事件とその対応「SSL/TLSを狙うBEAST攻撃の真実」(2)SSL/TLSを狙う事件が多発 | ScanNetSecurity
2024.07.24(水)

海外における個人情報流出事件とその対応「SSL/TLSを狙うBEAST攻撃の真実」(2)SSL/TLSを狙う事件が多発

●SSL/TLSを狙う事件が多発
このところ、ハッカーがSSL認証を狙う事件が多発している。ただし、Duong氏が言ったとおり「SSLプロパティの信頼性についての攻撃」が中心だ。3月15日には、SSL証明書を提供してセキュリティを保証するCOMODOがハッカーの攻撃を受けた。Googl

国際
●SSL/TLSを狙う事件が多発
このところ、ハッカーがSSL認証を狙う事件が多発している。ただし、Duong氏が言ったとおり「SSLプロパティの信頼性についての攻撃」が中心だ。3月15日には、SSL証明書を提供してセキュリティを保証するCOMODOがハッカーの攻撃を受けた。Google、Skype、Yahooをはじめ、9件の偽のSSL証明書がリクエストされ、一部は発行されてしまった。COMODOは攻撃にはイランが関わっていたと考えている。

6月にはイスラエルのSSL認証局であるStartComが運営するStart SSが攻撃を受け、SSL証明書の発行を中止した。やはり、Google、Skype、Yahooというように、3月のCOMODOの事件でもターゲットにされたWebサイトの多くが再び攻撃を受けている。

8月29日にはオランダのSSL認証局であるDigiNotarが不正アクセスを受けていたことが明らかになった。7月10日に何者かがGoogle.com用の不正なSSL証明書を獲得したというものだ。

DigiNotarは7月21日までに128件、7月27日までに75件の不正に発行された偽の証明書を見つけ、失効手続きを行った。しかし7月29日にはさらに、これまでに見つかっていなかった不正なgoogle.com用の証明書が見つかったというものだ。

Fox-ITによると、30万件のIPリクエストを確認。99%はイランと関係していたということで、犯人はイラン国民のWebコミュニケーションを傍受しようとしていたようだ。

9月6日には、COMODOの認証を再販する事業者のサーバにハッキングを行ったと自ら主張するcomodohackerが、GlobalSignやDigiNotarなども攻撃していたとの声明を発表。事件を受けて、GlobalSignではSSL証明書の発行を一時停止する騒ぎとなった。

また、たとえば、2009年のBlack Hat Security Conferenceでも、ハッカー、Moxie Marlinspikeが無料のツールを発表しているように、ユーザにアクセスして情報を送付することに安心感を与えるSSL/TLSは常に攻撃のターゲットとなっている。安全なhttpsサイトに見えるサイトを置き換え、中間者攻撃でデータを不正に獲得するというものだった。

今年になって続いているSSL認証局のハッキングは世界で大きな影響を与えている。そのような状況でのTLSの脆弱性についての報告だ。現在のところ、BEASTを使っても簡単に攻撃できないにしても、今後「改善」されることで大きな脅威となりうる。Webトラフィック、インターネット通信のインターネットでの通信の安全性を根幹から揺るがすことになりかねない。

(バンクーバー新報 西川桂子)
《ScanNetSecurity》

特集

国際 アクセスランキング

  1. ランサムウェア集団が謝罪

    ランサムウェア集団が謝罪

  2. 国際手配のランサム犯 逮捕されずに世界中を旅行

    国際手配のランサム犯 逮捕されずに世界中を旅行

  3. ベルシステム24 のベトナム子会社に不正アクセス、コールセンター受託業務での顧客情報漏えいの可能性

    ベルシステム24 のベトナム子会社に不正アクセス、コールセンター受託業務での顧客情報漏えいの可能性

  4. 「情報漏えいの可能性を完全に否定することはできない」高野総合会計事務所グループのデータを管理するサーバにランサムウェア攻撃

  5. [まさか本気でそんなに儲かると思った?]サイバー犯罪者さん 職種別給与一覧 ~ 求人広告22万件調査

  6. 非表示設定等が可能なファイル形式の送付を廃止 ~ 永年勤続表彰の教員選考に関するファイルを誤送信

  7. ? ランサムウェアの犯人「新型コロナ危機の間は医療機関を標的にしないことを俺たちは誓う」(The Register)

  8. [ブラックマーケット最新価格一覧] ランサムウェア,ボットレンタル, 盗難アカウント,パスポート, 偽造処方箋, 性恐喝用偽造動画:各USドル表記 ~ コモディティと高級サービスの違い

  9. 取締役や幹部への罰金 禁固 罷免 解雇 ~ サイバー攻撃後の被処罰最多は APJ 地域

  10. 支払額倍増の場合も ~ オラクルが Fortune 200 へ Java ライセンスに関する監査書送付を開始

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×