ツイキャス生放送「情報セキュリティCAS」で使用したスライドです。 放送の録画はこちら→ http://twitcasting.tv/it_mikawaya/movie/127949720

1. 情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

2. このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

3. 本日のテーマは…
2014情報セキュリティ10大ニュース（３）

4. 先週に引き続き…
私が勝手に選んだ10大ニュースです
選択内容に偏りがあるかもしれませんが
ご容赦ください m(__)m

5. 10大ニュース
• 会員制サイトへの不正アクセス
• SNSアカウント乗っ取り（第二十二回）
• ネットバンキングを狙った不正送金ウイルス
• ベネッセ顧客情報流出
• 模倣サイト騒ぎ（第二十回）

6. 10大ニュース
• 無線LANの安全性（第二十一回）
• BaiduIMEの変換文字列漏洩（第六回）
• HeartBleed（第十五回）
• ShellShock（第二十三回）
• POODLE（第二十四回）

7. HeartBleed
• 意味は「心臓出血」
• OpenSSLという暗号化ソフトに脆弱性があった
• 漏れてはいけない秘密鍵やパスワードが漏れてしまう
• 多くのサイトで使われているので大問題に

8. HeartBleed
何が危険なのか？
!
秘密鍵が漏れると
正式なフィッシングサイトが作れてしまう

9. HeartBleed
何が危険なのか？
!
ログイン情報が漏れていると
不正アクセスされてしまう可能性

10. HeartBleed
OpenSSLをバージョンアップする
秘密鍵を再生成してサーバー証明書の再発行を行う
!
これで対応が完了する

11. HeartBleed
• ログに残らないため漏洩の可能性を前提に対応
• 利用者への告知も重要

12. ShellShock
• Shellと呼ばれるプログラムのうちbashに脆弱性
• サーバーだけではなくMacなどでも使われている

13. ShellShock
何が危険なのか？
!
乗っ取りの可能性
サイト改竄の可能性

14. ShellShock
bashをバージョンアップする
!
これで対応が完了する

15. ShellShock
攻撃を防ぐには
!
WAF（Web Application Firewall）も有効
ShellShockに対応したパターンファイルを設定しておく

16. ShellShock
• 実はいまだに攻撃が見られる
• 古いシステムを使い続けているところを標的に？

17. POODLE
• SSL/TLSのひとつであるSSLv3の脆弱性を突く攻撃
• 一般的にTLSが使われるが意図的にSSLにダウングレード

18. POODLE
何が危険なのか？
!
気付かないうちにSSLv3にダウングレードされ
暗号を解読されてしまう

19. POODLE
ブラウザ側でSSLv3を使わなくする
サーバー側でSSLv3を使わなくする
!
これで対応が完了する

20. POODLE
もし古いシステムでSSLv3が必須の場合
!
サーバー上で「TLS_FALLBACK_SCSV」を適用する
意図しないダウングレードは避けられる

21. POODLE
• 利用者への事前告知が必要（突然閲覧不可になる）
• 古いブラウザの使用は避ける（ソフトウェアは最新に）

22. 最後に
ソフトウェアは常に最新にしましょう！

23. 番外編
ペヤングゴキブリ事件
!
ペヤング焼きそばの中にゴキブリの死骸が入っていた
写真をTwitterに投稿したのがきっかけ

24. 番外編
結果
!
双方が炎上し、まるか食品は工場の体制見直し
投稿者はTwitterのアカウントを削除

25. 今後の予定
• 第三一回＝SSL対応サイトだから安全とは限らない！
• 第三二回＝中小企業も狙われるウェブサイトの改竄被害
• 第三三回＝とっても怖いネット炎上
• 第三四回＝（タイトル未定）

26. 次回は…
年末年始休暇となりますので
一週間開いて「2015年1月8日」の放送になります
来週はお休みを頂きますm(__)m

27. 制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya