最新記事一覧
OpenSSL Projectは、クライアント側QUICやTLSハンドシェイクにおける証明書圧縮に対応した「OpenSSL 3.2.0」を公開した。
()
「Azure Key Vault」でSSLサーバ証明書を管理する場合、App ServiceによるWebサイトやWeb APIをデプロイする時に、Key Vaultから証明書を自動でインポートしたいところだ。そのためのARM（Azure Resource Manager）テンプレート（Bicep）を注意点とともに紹介する。
()
App ServiceによるWebサイトやWeb APIにAzure外で発行したSSLサーバ証明書を割り当てる場合、App Serviceに直接インポートすると更新時に手間が掛かりやすい。機密情報を安全に取り扱える「Azure Key Vault」を使って、効率良く証明書を更新できるようにしよう。
()
Fortinetは、FortiOSおよびFortiProxyの「SSL-VPN」機能におけるヒープベースのバッファオーバーフローの脆弱性を悪用することで、サイバー攻撃者がデバイスを制御できる可能性があると警告した。
()
Fortinetは2023年6月にFortiOSに存在するヒープバッファーオーバーフローの脆弱性に対処したアップデートの提供を開始した。しかし1カ月たってもアップデートの適用状況は好ましくない。
()
用語「自己教師あり学習」について説明。ラベルなしの大量データセットを使って、プレテキストタスク（疑似的なラベルが自動生成された代替のタスク）を解くための事前学習を行う学習方法のこと。その後、ターゲットタスクを解くために、（少量の）別のデータセットを使って事前学習済みモデルをファインチューニングする。
()
FortinetはFortiOSのSSL-VPN機能にヒープベースのバッファオーバーフローの脆弱性が存在すると伝えた。該当製品を使用している場合、直ちにアップデートを適用してほしい。
()
オープンソースライブラリ「OpenSSL」に脅威度「HIGH」の脆弱性が見つかった。悪用されると、OpenSSLを使うシステムをクラッシュさせられる可能性がある。開発チームは早急なアップグレードを推奨している。
()
日本照明工業会（JLMA）では2019年に照明成長戦略「LIGHTING VISION 2030」を発表。カーボンニュートラルとSociety 5.0の実現に向けて、さまざまな取り組みを展開している。加速度的に達成していくため、2022年10月19日には新たなコミュニケーション戦略を打ち出した。
()
酒造会社の日本盛が、第三者による不正アクセスとランサムウェアの設置を受け、社内システムに障害が発生した。攻撃者は日本盛が導入していたSSL VPN機器の脆弱性を悪用して社内システムに侵入したとみられる。
()
Microsoftが定例外の累積更新プログラム「KB5020387」を配信した。「Windows 11, version 21H2」を対象としている。SSL/TLS関連の処理エラーが発生している場合はアップデートを適用してほしい。
()
OpenSSLに複数の脆弱性が見つかった。そのうち1つはRCE（リモートコード実行）を引き起こす可能性がある深刻度「重要」（High）に分類されている。該当バージョンを使用している場合、迅速にアップデートを適用してほしい。
()
QNAP製NASがOpenSSLにおける無限ループの脆弱性の影響を受けることが判明した。現時点ではアップデートが提供されていないため、今後の続報が待たれる。
()
大手ドメイン登録事業者GoDaddyは顧客のWordPressのシステムにデータ侵害があったと発表。最大120万人分の個人データが流出した可能性がある。メールアドレス、管理者番号、sFTP、SSL秘密鍵などにアクセスされた。
()
無料でSSLサーバ証明書を発行する「Let's Encrypt」に脆弱性が見つかった。不正発行を防ぐための仕組みにある落とし穴を、サイバー犯罪者はどう悪用しているのか。
()
「Fortigate」のSSL-VPNデバイスの認証情報がダークウェブに公開されたことが判明した。8万7000台の製品が影響を受ける見込みだ。迅速にアップデートを適用してほしい。
()
US-CERTは、広く利用されるSSL/TSLライブラリ「OpenSSL」に脆弱性が発見されたと伝えた。脆弱性を利用されるとサービス運用妨害（DoS：Denial of Service）が引き起こされる危険性がある。
()
サイバートラストは、SSL／TLSサーバ証明書「SureServer Prime」のマルチドメイン証明書を2021年5月27日に提供開始する。認証レベルに応じて、「SureServer Prime MD」と「SureServer EV Prime MD」の2種類を用意した。
()
新型コロナウイルス感染症の影響でテレワークが普及する中、SSL VPNの脆弱性を突く標的型ランサムウェア攻撃や、拡散を狙うばらまきメール攻撃など新たな脅威が顕在化している。これらに企業はどう対処すべきか、有識者が語り合った。
()
さまざまなシステムで広く利用されるOpenSSLに新たな脆弱性が見つかった。DoS攻撃につながりかねないリスクがあるあため、アップグレードや修正バージョンの入手を急ぎたい。
()
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、特権ID管理のSaaS「CyberArk Privilege Cloud」の販売を開始した。併せて専任コンサルタントによる支援プログラムを提供し、導入前のカウンセリングから運用環境に合わせたカスタムプラグイン開発までワンストップで実施できる。
()
IPAセキュリティセンターは、WebサーバでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」の第3版を公開。暗号技術評価プロジェクトのCRYPTRECが記載内容を第2版から全面的に見直した。
()
個人情報の送受信に不可欠な「暗号化」だが、トラフィックの可視性の欠如を悪用したサイバー攻撃も増えている。そこで対策として取り入れたい「SSL復号」のアプローチについて、メリットや導入のためのベストプラクティスを紹介する。
()
通信を暗号化するSSL化が不可欠な昨今、見えないというデメリットを悪用してマルウェア感染やWebサイト改ざんによる攻撃を試みる攻撃者が現れている。SSL化された通信を可視化しセキュリティ対策製品による検閲／防御をする手だてはないのか。
()
SSL/TLS向けのサーバ証明書を無料で発行している認証局「Let's Encrypt」は、BGPの乗っ取りのような攻撃に対抗するため、多視点ドメイン検証を開始した。証明書の不正発行につながる攻撃を抑え込む役に立つという。
()
SSL証明書でMicrosoftが大失態。その背景を解説する。
()
約10年後に訪れると見込まれる量子コンピュータの実用化の際には、現在の暗号の一部は解読されてしまう恐れがある。デジサート・ジャパンの林正人さんは、「量子コンピュータの脅威を正しく認識し、耐量子コンピュータ暗号の導入に今から備えるべき」という。
()
富士通ソーシアルサイエンスラボラトリは、IoT機器へのセキュリティ対策を支援する「IoTセキュリティサービス」の提供を開始した。
()
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、自社ソリューション群「PoweredSolution」を刷新し、5カテゴリーで製品・サービスを提供する。デジタルトランスフォーメーション（DX）デザインの共創や、顧客エンゲージメントの獲得支援、データ活用支援など、DX推進支援策を強化した。
()
WebサイトやWebアプリのセキュリティの要である「SSL／TLS」は、SSL 3.0以前のレガシーなプロトコルの脆弱（ぜいじゃく）性が問題視され、より新しいプロトコルに移行することが求められてきました。SSLの後継であるTLS 1.0／1.1も脆弱性があることが明らかになり、最近ではTLS 1.2以降を要求するWebサイトやサービスも増えてきています（例：2019年7月下旬のTwitterサービスなど）。今回は、TLS 1.2以降への移行の影響で失敗するようになった「Invoke-WebRequest」コマンドレットの回避策について。
()
SSLが普及する一方、攻撃者が防御を回避する方法として暗号化を利用していることは認識しておかなくてはならない。これに対抗するには、暗号化トラフィック内の脅威を“復号なし”で発見できる、新たなテクノロジーの採用が不可欠だ。
()
SSL／TLSプロトコルで暗号化されたトラフィックは、情報の保護やコンプライアンスに重要な一方、トラフィック内の脅威を見えなくするリスクも抱えている。それを解消するには、暗号化された通信を“復号”する能力が必要になる。
()
IBMは、将来の量子コンピューティング時代を見越した一連のサイバーセキュリティの取り組みを発表した。クラウドで転送中のデータの暗号化や、TLS/SSLの実装の強化などを2020年までに進める。量子コンピュータによる暗号解読に対応したテープストレージも開発した。
()
フィッシング詐欺サイトを見抜く方法として何度も紹介してきた「EV SSL証明書」に、大きな変化が起きようとしています。「鍵マークさえあれば安心」「組織名が表示されていれば安全」という先入観に付け入る悪意への対抗策を、皆さんは認識されているでしょうか？
()
プロトコルの脆弱（ぜいじゃく）性の問題から、レガシーなSSL 3.0やTLS 1.0／1.1を無効化し、より安全なTLS 1.2以降を使用することが推奨されています。常時SSL化され、TLS 1.2以降での接続を要求するWebサイトやサービスも増えてきました。SSL／TLSはMicrosoft Azureのサービスへの接続やデータ転送の保護に重要なプロトコルですが、業界の流れと同様に、各サービスでレガシーなプロトコルの廃止が進んでいます。
()
SSLなどの暗号化プロトコルの使用が増加すると、悪意のあるデータまでが暗号化されて検知が難しくなるという課題が顕在化してきた。
()
「接続はプライベートではありません」――Webブラウザ上でこんなメッセージを見たことはありませんか？ 今回は「SSLサーバ証明書エラー」の危険性について解説します。
()
DigiCert（デジサート）はサーバ証明書の最大手として知られている。それだけでなく、サーバ向けの証明書技術の一部を共用してIoT向けのマネージドサービスも展開している。製造業から医療機関まで幅広いニーズがあるのだという。今後はブロックチェーンや量子時代の暗号を利用した次世代のデバイス認証の開発にも取り組む。銀座の新オフィスオープンに合わせて来日したCEOとCTOに同社の強みと目指すところを聞いた。
()
インターネット接続機器のセキュリティ技術として広く用いられているTLSの最新バージョン「TLS1.3」は、IoTデバイスを強く意識して標準化が進められた。本稿では、組み込み技術者向けにTLS1.3の基礎を解説する。前編ではまず、TLS1.3のベースとなる一般的な暗号化通信技術であるSSL/TLSについて説明する。
()
デスクトップ版Google Chromeを活用すると、WebサイトのSSLサーバ証明書を簡単に調べることができます。Webサイト管理者を対象に、その手順や注意点を説明します。
()
7月のセキュリティクラスタは「豪雨災害とフリーWi-Fiスポットのセキュリティ」「不正アクセスで逮捕された若者がホワイトハッカーとして復活」「Chromeと非SSLサイトの警告表示」に注目が集まりました。
()
wolfSSLは、新しい通信プロトコル「MQTT v5.0」をサポートする、MQTTクライアント「wolfMQTT」を発表した。
()
常時SSLは、もはや当たり前のものとして認識されている。そのためには高額な製品導入や、Webサーバにさまざまな設定が必要だ。しかし今、その「常識」に変化が起きている。
()
wolfSSLは、新しい通信プロトコル「MQTT v5.0」をサポートする、MQTTクライアント「wolfMQTT」を発表した。
()
“常時SSL化”はシステム管理者にとって無視できないトレンドの1つ。サーバー証明書の選び方から導入までを完全解説。
()
運用・管理担当者にとって面倒なSSLサーバ証明書の更新。有効期間内に正しく更新できるように、OpenSSLを使って自動的かつ定期的にサーバの証明書を実際に調べて、期限切れが近づいているかどうか網羅的に確認する方法を紹介する。
()
SSL通信の速度制限も行っているのではないかといわれています。
()
え？ 常時SSL化されているサイトなら安心じゃないの？
()
VeriSignやGeoTrust、RapidSSLなどSymatec傘下の認証局が発行した証明書は、Chrome 66から段階的に無効化される。
()
能楽協会、富士通、富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、言語の壁を越えて能楽の魅力を発信することを目指し、「能楽フェスティバル2017-2020 『第3回シンポジウム』」で、講演者の発話内容をリアルタイムに英訳して来場者のスマートデバイスに表示する仕組みを活用する。
()