最新記事一覧
Let's Encryptは2028年までにSSL/TLS証明書の有効期間を90日から45日へ短縮する方針を発表した。業界標準に基づく変更で、認証再利用期間も縮小される。ユーザーは自動更新体制の再確認が求められる。
()
日本IBMは、SSL/TLSサーバ証明書の有効期間が47日に短縮される新要件に適合する新サービスの提供を開始した。証明書の更新作業を自動化し、セキュリティと運用効率を両立する。
()
Pythonの最新リリース候補「3.14.0rc2」と安定版の最新バージョンである「3.13.7」が公開された。3.14.0rc2はバイトコード生成のバグフィックスを目的に早期のリリースとなった。3.13.7はSSL不具合が修正された。
()
VPNクライアントに偽装したマルウェア「SilentRoute」が見つかった。正規ソフトに偽装し、資格情報を外部に送信する高度なマルウェアだ。被害者は検索エンジン経由で偽のWebサイトに誘導され、ダウンロードしていた。
()
App ServiceによるWebサイト／APIに対して、Azure外で発行したSSLサーバ証明書を割り当てることもあるだろう。この際、App Serviceに直接インポートすると更新時の手間が増えてしまう。機密情報を安全に取り扱える「Azure Key Vault」をPowerShellで操作することで、効率良く証明書を更新できるようにする。
()
セキュアな通信を実現するVPN技術において、プロトコルの選択は重要だ。代表的なVPNプロトコルであるIPsecとSSLのどちらを選べばいいのか。
()
リモートアクセスや拠点間通信の安全性を高めるVPNのプロトコルには、IPsecとSSLという2つの主要な仕組みがある。両者の違いを詳しく見ていこう。
()
VPNは従業員が安全に働くためになくてはならない通信技術であり、いまだにリモートアクセス技術の主流だ。VPNの主要プロトコルであるIPsecとSSLの基本を確認しよう。
()
ランサムウェアの脅威が増加する中、SSL-VPNの脆弱性が攻撃者の主要な侵入経路となっている。こうした状況でセキュリティ強化のために「脱SSL-VPN」が注目を集めている。本記事は移行先となる5つの選択肢を紹介し、メリットや導入時のポイントを解説する。
()
Fortinetは、同社のファイアウォール「FortiGate」に搭載するOS「FortiOS」の最新バージョン「FortiOS 7.6.3」から、「SSL VPNトンネルモード」のサポートを終了すると発表した。
()
Fortinet製デバイス1万6000台以上がシンボリックリンク型バックドアによる侵害を受けたことが分かった。攻撃者は既知の複数の重大な脆弱性を悪用し、SSL-VPNの言語ファイル配信フォルダにリンクを作成して永続的アクセスを得ている。
()
OpenSSLに重大な脆弱性が存在することが分かった。中間者攻撃が実行される可能性があり、TLS／DTLS通信の傍受が懸念される。ユーザーは速やかに修正済みの最新バージョンにアップデートすることが望まれる。
()
サンコーは、2画面出力に対応したUSB外付けHDMIディスプレイアダプター「UBHM24SSL」を発売した。
()
Kubernetesやクラウドネイティブをより便利に利用する技術やツールの概要、使い方を凝縮して紹介する連載。今回は、cert-managerを利用したIngressによる自己署名証明書とLet's Encryptで発行した証明書の利用方法を解説し、Gateway APIでcert-managerを利用する方法を紹介する。
()
2025年、SSL証明書の有効期限が大幅に短縮されるとみられている。対策は必ずしも容易ではなく、十分な検討が必要になる。どうすればいいのか。
()
GMOグローバルサインは、暗号ライブラリプロバイダーのwolfSSL Japanとの協業を発表した。協業により、SSL/TLS通信による認証や暗号化を容易にするIoTセキュリティソリューションの提供を開始する。
()
電子証明書やSSL／TLSのための標準的なツールキット「OpenSSL Ver.3（バージョン3）」。しかしWindows OSには標準でインストールされていない。Windows OSでOpenSSL Ver.3を利用するのに必要なインストール手順と注意点を解説する。
()
Fortinetは「FortiOS」および「FortiProxy」のSSL-VPNトンネルモードに脆弱性があることを報告した。これを悪用されるとIPアドレスを偽装してセキュリティ制御を回避する可能性がある。
()
OpenSSL Projectは、クライアント側QUICやTLSハンドシェイクにおける証明書圧縮に対応した「OpenSSL 3.2.0」を公開した。
()
「Azure Key Vault」でSSLサーバ証明書を管理する場合、App ServiceによるWebサイトやWeb APIをデプロイする時に、Key Vaultから証明書を自動でインポートしたいところだ。そのためのARM（Azure Resource Manager）テンプレート（Bicep）を注意点とともに紹介する。
()
App ServiceによるWebサイト／APIに対して、Azure外で発行したSSLサーバ証明書を割り当てることもあるだろう。この際、App Serviceに直接インポートすると更新時の手間が増えてしまう。機密情報を安全に取り扱える「Azure Key Vault」をAzure CLIで操作することで、効率良く証明書を更新できるようにする。
()
Fortinetは、FortiOSおよびFortiProxyの「SSL-VPN」機能におけるヒープベースのバッファオーバーフローの脆弱性を悪用することで、サイバー攻撃者がデバイスを制御できる可能性があると警告した。
()
Fortinetは2023年6月にFortiOSに存在するヒープバッファーオーバーフローの脆弱性に対処したアップデートの提供を開始した。しかし1カ月たってもアップデートの適用状況は好ましくない。
()
用語「自己教師あり学習」について説明。ラベルなしの大量データセットを使って、プレテキストタスク（疑似的なラベルが自動生成された代替のタスク）を解くための事前学習を行う学習方法のこと。その後、ターゲットタスクを解くために、（少量の）別のデータセットを使って事前学習済みモデルをファインチューニングする。
()
FortinetはFortiOSのSSL-VPN機能にヒープベースのバッファオーバーフローの脆弱性が存在すると伝えた。該当製品を使用している場合、直ちにアップデートを適用してほしい。
()
オープンソースライブラリ「OpenSSL」に脅威度「HIGH」の脆弱性が見つかった。悪用されると、OpenSSLを使うシステムをクラッシュさせられる可能性がある。開発チームは早急なアップグレードを推奨している。
()
日本照明工業会（JLMA）では2019年に照明成長戦略「LIGHTING VISION 2030」を発表。カーボンニュートラルとSociety 5.0の実現に向けて、さまざまな取り組みを展開している。加速度的に達成していくため、2022年10月19日には新たなコミュニケーション戦略を打ち出した。
()
酒造会社の日本盛が、第三者による不正アクセスとランサムウェアの設置を受け、社内システムに障害が発生した。攻撃者は日本盛が導入していたSSL VPN機器の脆弱性を悪用して社内システムに侵入したとみられる。
()
Microsoftが定例外の累積更新プログラム「KB5020387」を配信した。「Windows 11, version 21H2」を対象としている。SSL/TLS関連の処理エラーが発生している場合はアップデートを適用してほしい。
()
OpenSSLに複数の脆弱性が見つかった。そのうち1つはRCE（リモートコード実行）を引き起こす可能性がある深刻度「重要」（High）に分類されている。該当バージョンを使用している場合、迅速にアップデートを適用してほしい。
()
QNAP製NASがOpenSSLにおける無限ループの脆弱性の影響を受けることが判明した。現時点ではアップデートが提供されていないため、今後の続報が待たれる。
()
大手ドメイン登録事業者GoDaddyは顧客のWordPressのシステムにデータ侵害があったと発表。最大120万人分の個人データが流出した可能性がある。メールアドレス、管理者番号、sFTP、SSL秘密鍵などにアクセスされた。
()
無料でSSLサーバ証明書を発行する「Let's Encrypt」に脆弱性が見つかった。不正発行を防ぐための仕組みにある落とし穴を、サイバー犯罪者はどう悪用しているのか。
()
「Fortigate」のSSL-VPNデバイスの認証情報がダークウェブに公開されたことが判明した。8万7000台の製品が影響を受ける見込みだ。迅速にアップデートを適用してほしい。
()
US-CERTは、広く利用されるSSL/TSLライブラリ「OpenSSL」に脆弱性が発見されたと伝えた。脆弱性を利用されるとサービス運用妨害（DoS：Denial of Service）が引き起こされる危険性がある。
()
サイバートラストは、SSL／TLSサーバ証明書「SureServer Prime」のマルチドメイン証明書を2021年5月27日に提供開始する。認証レベルに応じて、「SureServer Prime MD」と「SureServer EV Prime MD」の2種類を用意した。
()
新型コロナウイルス感染症の影響でテレワークが普及する中、SSL VPNの脆弱性を突く標的型ランサムウェア攻撃や、拡散を狙うばらまきメール攻撃など新たな脅威が顕在化している。これらに企業はどう対処すべきか、有識者が語り合った。
()
さまざまなシステムで広く利用されるOpenSSLに新たな脆弱性が見つかった。DoS攻撃につながりかねないリスクがあるあため、アップグレードや修正バージョンの入手を急ぎたい。
()
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、特権ID管理のSaaS「CyberArk Privilege Cloud」の販売を開始した。併せて専任コンサルタントによる支援プログラムを提供し、導入前のカウンセリングから運用環境に合わせたカスタムプラグイン開発までワンストップで実施できる。
()
IPAセキュリティセンターは、WebサーバでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」の第3版を公開。暗号技術評価プロジェクトのCRYPTRECが記載内容を第2版から全面的に見直した。
()
個人情報の送受信に不可欠な「暗号化」だが、トラフィックの可視性の欠如を悪用したサイバー攻撃も増えている。そこで対策として取り入れたい「SSL復号」のアプローチについて、メリットや導入のためのベストプラクティスを紹介する。
()
通信を暗号化するSSL化が不可欠な昨今、見えないというデメリットを悪用してマルウェア感染やWebサイト改ざんによる攻撃を試みる攻撃者が現れている。SSL化された通信を可視化しセキュリティ対策製品による検閲／防御をする手だてはないのか。
()
SSL/TLS向けのサーバ証明書を無料で発行している認証局「Let's Encrypt」は、BGPの乗っ取りのような攻撃に対抗するため、多視点ドメイン検証を開始した。証明書の不正発行につながる攻撃を抑え込む役に立つという。
()
SSL証明書でMicrosoftが大失態。その背景を解説する。
()
約10年後に訪れると見込まれる量子コンピュータの実用化の際には、現在の暗号の一部は解読されてしまう恐れがある。デジサート・ジャパンの林正人さんは、「量子コンピュータの脅威を正しく認識し、耐量子コンピュータ暗号の導入に今から備えるべき」という。
()
富士通ソーシアルサイエンスラボラトリは、IoT機器へのセキュリティ対策を支援する「IoTセキュリティサービス」の提供を開始した。
()
富士通ソーシアルサイエンスラボラトリ（富士通SSL）は、自社ソリューション群「PoweredSolution」を刷新し、5カテゴリーで製品・サービスを提供する。デジタルトランスフォーメーション（DX）デザインの共創や、顧客エンゲージメントの獲得支援、データ活用支援など、DX推進支援策を強化した。
()
WebサイトやWebアプリのセキュリティの要である「SSL／TLS」は、SSL 3.0以前のレガシーなプロトコルの脆弱（ぜいじゃく）性が問題視され、より新しいプロトコルに移行することが求められてきました。SSLの後継であるTLS 1.0／1.1も脆弱性があることが明らかになり、最近ではTLS 1.2以降を要求するWebサイトやサービスも増えてきています（例：2019年7月下旬のTwitterサービスなど）。今回は、TLS 1.2以降への移行の影響で失敗するようになった「Invoke-WebRequest」コマンドレットの回避策について。
()
SSLが普及する一方、攻撃者が防御を回避する方法として暗号化を利用していることは認識しておかなくてはならない。これに対抗するには、暗号化トラフィック内の脅威を“復号なし”で発見できる、新たなテクノロジーの採用が不可欠だ。
()
SSL／TLSプロトコルで暗号化されたトラフィックは、情報の保護やコンプライアンスに重要な一方、トラフィック内の脅威を見えなくするリスクも抱えている。それを解消するには、暗号化された通信を“復号”する能力が必要になる。
()