情報セキュリティCAS 第十五回放送用スライド

情報セキュリティCAS
情報セキュリティについて 
中年オヤジがグダグダ語るCAS

このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

本日のテーマは…
騒ぎになっているOpenSSLの脆弱性って何？

結論から申し上げると…
暗号化通信の仕組みを根底から覆す脆弱性
でも対策すれば問題ない
どちらかというと、派生する問題の方が大きい

何でこのテーマを選んだか？
• OpenSSLって何？って人が多い
• 自分は関係ないだろうと思っている人が多いと思われる
• どれもこれも説明が難しい
• 結局のところ、どうすればいいのか判らない

今回の問題は…
ハートビートという死活確認の仕組みに問題があった
!
問題を突くことで秘密鍵やログイン情報の漏洩の
可能性があり、2年間くらい気付かなかった

なので…
暗号化の仕組み自体に問題があったわけでは無い

でも…
秘密鍵を盗まれると
正式な「フィッシングサイト」が作れてしまう

なおかつ…
ログイン情報が漏れていると
不正利用される可能性が非常に高い

どうしたらいいのか（運営側）
OpenSSLをアップデートし
秘密鍵を作り直した後にサーバー証明書を再取得する
かつ、既存のサーバー証明書を失効する

どうしたらいいのか（運営側）
利用者への告知をし
ユーザー名やパスワードを変更してもらう

どうしたらいいのか（利用者側）
運営者からの告知があったら指示に従い
ユーザー名やパスワードを変更する

でもねぇ…
実は運営者の告知を装った
フィッシングメールやフィッシングサイトが
横行する可能性がある

と言うことは…
運営者からの告知が正当なものかどうかを
確認しなければ余計に危険なのです

どうやって？
情報セキュリティCASの
第五回「迷惑メールとフィッシングサイト」
をご覧ください

再び結論
暗号化通信の仕組みを根底から覆す脆弱性
でも対策すれば問題ない
どちらかというと、派生する問題の方が大きい

と言うことで…
• 運営者は迅速にOpenSSLの更新をすべし
• 運営者は迅速に秘密鍵の再生成をすべし
• 運営者は証明書の再発行と既存証明書の失効をすべし
• 運営者は利用者への詳細な告知をすべし

と言うことで…
• 利用者は慌ててパスワードの変更とかをしない
• 利用者は運営者からの情報開示を待つべし
• 利用者は慌ててフィッシングに引っ掛からないように

今後の予定
• 第十六回＝クラウドストレージは安全なのか？
• 第十七回＝スマホやタブレットのアプリに気をつけろ！
• 第十八回＝危険なサイトには近寄らない
• 第十九回＝（タイトル未定）

制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya

Recommended