脆弱性に関する報告

Ｄｅｂｉａｎは２００８年５月１５日脆弱性に関する報告を発表しました。
ＯｐｅｎSSLライブラリのパッケージメンテナンスの際に誤ったパッチを導入した結果、鍵生成に適切な乱数が使われず僅か６５５３６通りの予測可能な物が生成されてしまった事を明らかにしました（なお、この問題はＯｐｅｎSSLそのものの脆弱性ではありません）。

影響

この影響を受けるのはＤｅｂｉａｎ　ｓａｒｇｅより後のバージョンのＤｅｂｉａｎと、それから派生したＤａｍｎ　Ｓｍａｌｌ　Ｌｉｎｙｘ、ＫＮＯＰＰＩＸ、Ｌｉｎｓｐｉｒｅ、Ｐｒｏｇｅｎｙ　Ｄｅｂｉａｎ、ｓｉｄｕｘ、Ｕｂｕｎｔｕ、ＵｓｅｒＬｉｎｕｘ、Ｘａｎｄｒｏｓです。
脆弱性のあるバージョンのＯｐｅｎSSLは２００６年９月１７日に公開された。
安定バージョンがリリースされた２００７年４月８日以降は確実に影響を受けます。

鍵

脆弱性のあるバージョンのＯｐｅｎSSLで作られた鍵全て、ＳＳＨ鍵、ＯｐｅｎVPN鍵、ＤＮＳＳＥＣ鍵、Ｘ．５０９証明書を生成するのに使われる鍵データ、およびSSL／ＴＬＳコネクションに使うセッション鍵等が影響を受ける。
これらの鍵は６５５３６通り全てをブルートフォースアタックで試すだけでいずれの鍵が使われているか解読可能であり（ＳＳＨでは２０分間で解読できたと報告されている）、また脆弱な鍵がインストールされたＤｅｂｉａｎを含むの全てのオペレーティングスシステムにおいて緊急の対応が必要であると専門家が注意を呼びかけている（その対象にはＭｉｃｒｏｓｏｆｔ　Ｗｉｎｄｏｗｓなど非ＵＮＩＸ系ＯＳも含む）。
具体的対応については、Ｄｅｂｉａｎの報告の他、ＪＰＣＥＲＴ／ＣＣの勧告等に従うべきです。

01 SSLの正しい知識、もってますか？TOP
当サイトのトップページです。
02 SSLとは
SSL（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔ　Ｌａｙｅｒ）とは、インターネット上でデータを暗号化して送受信する方法のひとつです。
03 バージョン
SSLにおける各バージョンについて説明します。
04 提供する機能
SSLは暗号化、認証、改竄検出の機能を提供します。具体的なアルゴリズムはそれぞれ複数の選択肢が定義されており、SSL通信の開始時に行われるネゴシエーション時に、双方が許容するアルゴリズムの中からそれぞれ一つが選択されます。
05 アプリケーション層プロトコルへの適用
アプリケーション層プロトコルへの適用について説明します。
06 セキュリティー上の考察
セキュリティー上の問題点を考えてみます。
07 証明書の正当性
証明書の正当性について説明します。
08 鍵の強度
鍵の強度について考えてみます。
09 共通鍵暗号
共通鍵暗号について説明します。
10 フィッシング
インターネットのＷＷＷやＥメール等を使った詐欺の一種。フィッシング詐欺のうち、特定の個人、団体を標的としたものをスピアフィッシングもしくはスピア型と呼びます。