セキュリティ

今すぐパスワードを変えたほうがいいのはGmail、Dropbox、Facebook。Opensslの脆弱性はHeartbleed（血を吹く心臓）

2014.04.13
この記事は約4分で読めます。

Heartbleed今すぐパスワードを変えたほうがいいという警告を受けた。少なくとも、Gmail、Dropbox、Facebook、Amazonなど、よく使われているWEBサービスはこの機会にパスワードをより強力なものに変えた方がいいということだ。
理由は、OpenSSL（オープンエスエスエル）にセキュリティ上の重大な欠陥があったからである。脅威のレベルは最大でHeartbleed（血を吹く心臓）と言われている。暗号化された通信の内容や秘密鍵などの情報を第三者が取得可能だったという深刻な脆弱性が約2年にわたって存在していたことが発覚した。

SSLの危険性

OpenSSL（オープンエスエスエル）などは使っていないから大丈夫と思われるユーザも多いだろうが、実は何度も使っている可能性がある。WEBサイトでパスワードを入力したり、個人情報やクレジットカード番号などを入力する際には「https://」で始まるSSL通信を行うことになっており、通信内容が暗号化される。このしくみ使われているのがOpenSSL（オープンエスエスエル）で、ある筋から聞くとことによるとSSL通信の過半数がOpenSSL（オープンエスエスエル）を使っていたということだ。

Heartbleed

まさに血を吹く心臓。誰でもパスワード等の漏洩の可能性がある。

まずは、この機会にパスワードをより強力なものに変えておくことをおすすめする。

脆弱性を紹介したニュースソース

以下はニュースソース
▼一般向け
http://headlines.yahoo.co.jp/hl?a=20140412-00000025-asahi-soci
▼エンジニア向け
http://www.atmarkit.co.jp/ait/articles/1404/10/news128.html
（↑影響を受けるアプリ一覧が載っており、Google等有名なWEBサービス会社の名前もあった）
http://www.jpcert.or.jp/at/2014/at140013.html
http://www.ipa.go.jp/security/ciadr/vul/20140408-openssl.html

以下引用（http://www.atmarkit.co.jp/ait/articles/1404/10/news128.htmlより）

■影響を受けるOS、ソフトウェア

ベンダー名など 影響を受ける製品名、ディストリビューション名など
VMware 「ESXi 5.5」「vCenter Server 5.5」「VMware Fusion 6.0.x」など
Cisco 「Cisco UCS B-Series」「Cisco UCS C-Series」「Cisco IOS XE」など
Fortinet 「FortiGate (FortiOS) 5.x」など
Juniper Networks 「Junos OS 13.3R1」など
F5 Networks 「BIG-IP LTM 11.5.0 – 11.5.1」「BIG-IP GTM 11.5.0 – 11.5.1」など
Aruba Networks 「ArubaOS 6.3.x、6.4.x」など
Watchguard Technologies 「WatchGuard XTM 11.8.x」など
FreeBSD FreeBSD 10.0
NetBSD NetBSD 6
RedHat Red Hat Enterprise Linux 6
Ubuntu Ubuntu 13.10、12.10、12.04 LTS
Android Android 4.1.1

■クラウドサービス事業者の情報

事業者名 情報
AWS AWSからOpenSSLの脆弱性について AWS のサービスアップデート。Amazon EC2については顧客側でパッケージのアップデートを行う必要あり
Google Google Services Updated to Address OpenSSL CVE-2014-0160 (the Heartbleed bug)。Google Compute Engineについては手動でOpenSSLをアップデートするか、OpenSSLを更新した新しいイメージに入れ替える必要あり
Microsoft（Windows Azure） 影響なしとの情報を公開

■SSLサーバー証明書、再発行に関する情報

ベンダー名 情報
シマンテック Security Advisory – 脆弱性：OpenSSL Heartbleed Bug (CVE-2014-0160/CVE-2014-0346) について
グローバルサイン OpenSSL 1.0.1に含まれる脆弱性への対応のお願い
クロストラスト OpenSSL 1.0.1に含まれる脆弱性(The Heartbleed Bug)への対応に関するお知らせ
セコムトラストシステムズ OpenSSL （1.0.1～1.0.1ｆおよび1.0.2-betaシリーズ）に含まれる脆弱性に関する重要なお知らせ