Heartbleed – Reports from the Field

      No Comments on Heartbleed – Reports from the Field

It has been now five days since details emerged regarding the “Heartbleed” vulnerability in OpenSSL. During this time we have been researching the impact of the vulnerability, tracking the patch states of popular websites, and monitoring attacks. So what have we learned?
 

Most popular sites are no longer vulnerable

We have been tracking the most popular websites to see which of them are currently vulnerable to Heartbleed. No website included in Alexa’s top 1000 websites is currently vulnerable. Within the Alexa top 5000 websites, only 24 websites are vulnerable. Overall, within the Alexa top 50,000 websites only 1.8 percent is vulnerable to Heartbleed. Based on this data, chances are that the websites most frequently visited by the average user are not affected by Heartbleed.

It is possible that your data may have been stolen prior to a website being updated. To mitigate against this ensure that you do not reuse passwords across multiple sites.
 

Yes, you should change your passwords

There has been some contradictory information regarding whether users should change their passwords. Based on our examination of the most popular websites above, it should now be safe to change the passwords for most of your online accounts.

If you have any doubt, Symantec offers the following tool to check whether a website is vulnerable to Heartbleed:

If a website is still vulnerable, do not change your password for that site just yet.
 

The problem is serious, but a doomsday scenario is unlikely

Heartbleed could be used by attackers to steal personal data such as usernames and passwords—and doing so is relatively easy. However one of the biggest concerns is that the vulnerability could be used to steal the private keys which are used to encrypt communications with websites. By stealing these keys, attackers could eavesdrop on communications or set up fake websites which impersonate legitimate websites allowing them access to even more data. As stated in our previous blog, stealing these keys is very difficult. Some researchers have been successful in stealing keys using Heartbleed, but each case required specific circumstances to be met; in particular, keys are more likely to be exposed only at the moment after the web server is started.
 

Heartbleed is not being widely used by attackers

Our monitoring has shown that while there is widespread scanning for vulnerable websites, most of this scanning seems to be originating from researchers. We have witnessed relatively few mass scans for the Heartbleed vulnerability originating from attackers. Attackers could be targeting specific sites but, fortunately, the most popular sites are no longer affected.
 

IPS will help block attacks

Symantec IPS signature 27517, Attack: OpenSSL Heartbleed CVE-2014-0160 3, has been released and will detect and block attempts to exploit Heartbleed on vulnerable servers.
 

Advice remains the same

For businesses:

  • Anyone using OpenSSL 1.0.1 through 1.0.1f should update to the latest fixed version of the software (1.0.1g), or recompile OpenSSL without the heartbeat extension. 
  • Businesses should also replace the certificate on their web server after moving to a fixed version of OpenSSL.
  • Finally, and as a best practice, businesses should also consider resetting end-user passwords that may have been visible in compromised server memory.

For consumers:

  • Be aware that your data could have been seen by a third party if you used a vulnerable service provider.
  • Monitor any notices from the vendors you use. Once a vulnerable vendor has communicated to customers that they should change their passwords, users should do so.
  • Avoid potential phishing emails from attackers asking you to update your password. To avoid being tricked into going to an impersonated website, stick with the official site domain.
     

For further information

For the latest information on Heartbleed, including how to minimize your risk, please visit the Symantec Heartbleed outbreak page:

Heartbleed Representa una Amenaza Seria a los Servidores Sin Parchar

      No Comments on Heartbleed Representa una Amenaza Seria a los Servidores Sin Parchar

Una vulnerabilidad recientemente descubierta en OpenSSL , una de las implementaciones más utilizadas de los protocolos SSL y TLS criptográficas , representa un peligro grave e inminente para cualquier servidor sin parchar . El bug conocido como Heartbleed permite a los atacantes interceptar comunicaciones seguras y robar información confidencial como credenciales de acceso , datos personales, o incluso las claves para descrifrar.

Heartbleed o el ‘ latido ‘ de la Extensión de Información de la Vulnerabilidad de Divulgación OpenSSL (CVE-2014 – 0160), afecta a un componente de OpenSSL conocido como Heartbeat . OpenSSL es una de las implementaciones de código abierto más utilizadas de los protocolos SSL ( Secure Sockets Layer) y TLS (Transport Layer Security).

Heartbeat es una extensión del protocolo TLS que permite mantener con vida una sesión de TLS, incluso si no se ha producido alguna comunicación real por cierto tiempo. La característica verificará que ambos equipos todavía están conectados y disponibles para la comunicación. También ahorra al usuario la molestia de tener que volver a introducir su usuario/contraseña para establecer otra conexión segura si se cae la conexión original.

¿Cómo funciona ? Heartbeat envía un mensaje al servidor de OpenSSL que a su vez retransmiste ese mensaje al remitente verificando la conexión. El mensaje contiene dos componentes , un paquete de datos conocidos como la carga útil que puede ser de hasta 64 KB y la información sobre el tamaño de la carga útil .

Sin embargo , la vulnerabilidad Heartbleed en OpenSSL permite a un atacante falsificar la información sobre el tamaño de la carga útil. Por ejemplo, podrían enviar una carga útil de un solo kilobyte en tamaño, pero afirmar que es de 64 KB.

Lo que un servidor de OpenSSL hace con el mensaje deformado de Heartbeat es clave para el peligro que esta vulnerabilidad plantea pues no intenta verificar que la carga útil es del mismo tamaño del que se indica en el mensaje. En su lugar, assume que la carga útil es del tamaño correcto e intenta enviarla de vuelta a la computadora de la cual vino. Sin embargo, ya que el mensaje no tiene la carga de datos  complete de 64KB en su lugar automáticamente “rellena” la carga útil con los datos almacenados al lado de él en la memoria de la aplicación . Así, si el servidor recibe una carga útil de 1 KB , lo devolverá con 63KB de otros datos almacenados en su memoria . Esto podría incluir las credenciales de inicio de sesión de un usuario , los datos personales , o incluso , en algunos casos , la sesión y claves de cifrado privadas.

Los datos que la aplicación envía de vuelta son elegidos al azar y es posible que el atacante puede recibir algunas piezas de datos incompletas o inútiles. Sin embargo , dada la naturaleza de la vulnerabilidad, el ataque se puede realizar una y otra vez , lo que significa que el atacante puede obtener una imagen más completa y grande de los datos almacenados por la aplicación a lo largo del tiempo.

Claves de cifrado privadas pueden ser lo más difícil de robar usando este ataque . Los datos se almacenan de manera secuencial , con nuevos datos almacenados en frente de los más antiguos . Las claves de encriptación normalmente se almacenan “detrás” de la carga útil en la memoria, lo que significa que son menos propensos a ser vistos. Sin embargo, el contenido de las sesiones actuales de SSL / TLS son los datos con más probabilidades de estar en riesgo.

El bug Heartbleed es el más reciente de una serie de vulnerabilidades de SSL / TLS descubiertas este año. Tanto TLS como su mayor predecesor SSL son protocolos seguros de comunicación de Internet y trabajan mediante el cifrado del tráfico entre dos equipos.

En Febrero, Apple tuvo que remediar dos vulnerabilidades críticas que afectan a SSL en su software. En primer lugar, emitió una actualización para su sistema operativo móvil iOS , que reparó un error que permitía a un atacante con una posición privilegiada de red capturar o modificar los datos de sesiones protegidas por SSL / TLS. Días más tarde, se emitió una segunda actualización, esta vez para su sistema operativo de escritorio, OS X, después de que se descubrió que la misma vulnerabilidad también lo afectó.

En Marzo, un certificado de vulnerabilidad fue encontrado en la librería de seguridad GnuTLS, que se utiliza en un gran número de versiones de Linux , incluyendo los productos de escritorio y servidores de Red Hat, así como en las distribuciones Ubuntu y Debian del sistema operativo.

GnuTLS es una implementación de software de código abierto de SSL / TLS. El bug significa que GnuTLS no manejó correctamente algunos errores que podrían ocurrir al verificar un certificado de seguridad . Esto podría permitir a un atacante utilizar un certificado especialmente diseñado para engañar GnuTLS para que confíe en un sitio web malicioso. Esta vulnerabilidad fue parchada inmediatamente por GnuTLS .

Heartbleed es por mucho, la vulnerabilidad más grave en SSL / TLS que se ha descubierto en los últimos tiempos . La naturaleza del error y el hecho de que afecta a una de las implementaciones más utilizadas de SSL / TLS significa que representa un riesgo inmediato .

 

Consejos para las empresas

  • Se trata de una vulnerabilidad de la biblioteca OpenSSL , y no un defecto con SSL / TLS , o certificados expedidos por Symantec .
  • Cualquier persona que use OpenSSL 1.0.1 través 1.0.1f debería actualizar a la última versión fija del software ( 1.0.1g ) o recompilar OpenSSL sin la extensión heartbeat.
  • Después de mudarse a una versión fija de OpenSSL , si cree que sus certificados de servidor web pueden haber sido comprometidos o robados como resultado de la explotación, entre en contacto con la entidad emisora ​​de certificados para un reemplazo.
  • Por último , y como una buena práctica , las empresas deben también considerar restablecer las contraseñas de los usuarios finales que pueden haber sido visibles en la memoria del servidor comprometido.

 

Consejos para los consumidores

• Considerar que nuestros datos podrían haber sido vistos por un tercero, si utilizamos un proveedor de servicios vulnerable.

• Monitorear los avisos de los sitios y fabricantes que usamos en nuestras tareas. Una vez que un proveedor vulnerable ha comunicado a los clientes de que deben cambiar sus contraseñas , debemos hacerlo.

• Ignorar posibles correos electrónicos de phishing (estafas) de atacantes que le pedirán que actualice la contraseña – para evitar ir a un sitio web falso, usar el dominio oficial del sitio y teclearlo en la barra de dirección.

• Usar sitios web y servicios de buena reputación . Ellos son los más propensos a resolver de forma inmediata la vulnerabilidad.

• Revisar los estados de cuenta bancarios y de tarjetas de crédito para comprobar que no existen transacciones inusuales.

ACTUALIZACIÓN 10 de abril 2014 : Symantec’s SSL Tools Certificate Checker

verificará si un sitio web es vulnerable a la explotación. Puede acceder al verificador de certificados en la siguiente dirección: https://ssltools.websecurity.symantec.com/checker

Para usar el Verificador de certificados, haga clic en Comprobar su instalación cerftificate e introduzca la URL del sitio web.

heartbleed-explained_02.png

???????????????????????????? Instagram ??

      No Comments on ???????????????????????????? Instagram ??

先週、Instagram を悪用する詐欺師から、宝くじに当選したと称して、その当選金をフォロワーに進呈すると騙る画像が投稿されました。詐欺師はユーザーを欺いてこの投稿を共有させ、個人情報を引き出したり、さらには詐欺師への送金を求めたりします。

この詐欺では、英国と米国の現実の宝くじ当選者になりすますために多数の Instagram アカウントが作成されました。そして、そのアカウントをフォローし、コメントと電子メールアドレスを残してくれたユーザーに 1,000 ドルずつ進呈すると謳っています。

figure1_20.png
図 1. 実際の宝くじ当選者になりすました Instagram アカウント

宝くじ当選者になりすましたアカウントの成功率はきわめて高く、5,000 ～ 10,000 人程度のフォロワーを獲得しています。

一定数のフォロワーを集めると、今度は当選者たちの「会計士」と称する人物の Instagram アカウントが登場します。この会計士が 1,000 ドルの送金を担当するということになっていますが、そこに罠が仕掛けられています。

figure2_19.png
図 2. 偽「会計士」のプロフィールが金銭を要求してくる

上の図では、「会計士」のプロフィールを名乗る人物が、大手の決済処理サービスを使って 0.99 ドルを送金するよう Instagram ユーザーに求めています。小切手を送るための郵送費用という名目です。

figure3_11.png
図 3. 宝くじ詐欺に引っかかってしまったユーザー

警戒すべき要素がたくさんあったにもかかわらず、この詐欺は成功を収めており、各アカウントが数千人のフォロワーを集めました。フォローしたユーザーは喜んで電子メールアドレスを公開し、一部のユーザーは郵送費用の負担分として 0.99 ドルを実際に支払っています。

この詐欺攻撃の最大の目的は、数千人のフォロワーを持つアカウントを集め、それを自分で利用するか転売することでした。シマンテックによる調査中に、なりすましアカウントの一部に関連しているユーザー名で、アカウントピボットが実行されました。つまり、アカウントがスパム認定されないように、アバター、ユーザー名、ユーザープロフィールが変更されたのです。こうすると、詐欺師は同じアカウントを使い続けるか売却することができます。

figure4_9.png
図 4. Instagram のなりすましアカウントが、フォロワー数を減らして再登場

アカウントピボットの直後に、なりすましアカウントが再登場しましたが、フォロワー数は以前より少なくなっていました。なかには、「ハッキングされた」と称してしばらく待つように求めるアカウントまで現れています。

これらのアカウントが偽物であることは明らかですが、Instagram アカウントをフォローするだけで 1,000 ドルが手に入ると信じ込むユーザーは後を絶ちません。

以下のような予防対策を講じることをお勧めします。

ウソのような儲け話は、しょせんはウソだということを忘れないようにしてください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

???????????????????????????? Instagram ??

      No Comments on ???????????????????????????? Instagram ??

先週、Instagram を悪用する詐欺師から、宝くじに当選したと称して、その当選金をフォロワーに進呈すると騙る画像が投稿されました。詐欺師はユーザーを欺いてこの投稿を共有させ、個人情報を引き出したり、さらには詐欺師への送金を求めたりします。

この詐欺では、英国と米国の現実の宝くじ当選者になりすますために多数の Instagram アカウントが作成されました。そして、そのアカウントをフォローし、コメントと電子メールアドレスを残してくれたユーザーに 1,000 ドルずつ進呈すると謳っています。

figure1_20.png
図 1. 実際の宝くじ当選者になりすました Instagram アカウント

宝くじ当選者になりすましたアカウントの成功率はきわめて高く、5,000 ～ 10,000 人程度のフォロワーを獲得しています。

一定数のフォロワーを集めると、今度は当選者たちの「会計士」と称する人物の Instagram アカウントが登場します。この会計士が 1,000 ドルの送金を担当するということになっていますが、そこに罠が仕掛けられています。

figure2_19.png
図 2. 偽「会計士」のプロフィールが金銭を要求してくる

上の図では、「会計士」のプロフィールを名乗る人物が、大手の決済処理サービスを使って 0.99 ドルを送金するよう Instagram ユーザーに求めています。小切手を送るための郵送費用という名目です。

figure3_11.png
図 3. 宝くじ詐欺に引っかかってしまったユーザー

警戒すべき要素がたくさんあったにもかかわらず、この詐欺は成功を収めており、各アカウントが数千人のフォロワーを集めました。フォローしたユーザーは喜んで電子メールアドレスを公開し、一部のユーザーは郵送費用の負担分として 0.99 ドルを実際に支払っています。

この詐欺攻撃の最大の目的は、数千人のフォロワーを持つアカウントを集め、それを自分で利用するか転売することでした。シマンテックによる調査中に、なりすましアカウントの一部に関連しているユーザー名で、アカウントピボットが実行されました。つまり、アカウントがスパム認定されないように、アバター、ユーザー名、ユーザープロフィールが変更されたのです。こうすると、詐欺師は同じアカウントを使い続けるか売却することができます。

figure4_9.png
図 4. Instagram のなりすましアカウントが、フォロワー数を減らして再登場

アカウントピボットの直後に、なりすましアカウントが再登場しましたが、フォロワー数は以前より少なくなっていました。なかには、「ハッキングされた」と称してしばらく待つように求めるアカウントまで現れています。

これらのアカウントが偽物であることは明らかですが、Instagram アカウントをフォローするだけで 1,000 ドルが手に入ると信じ込むユーザーは後を絶ちません。

以下のような予防対策を講じることをお勧めします。

ウソのような儲け話は、しょせんはウソだということを忘れないようにしてください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

      No Comments on Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

Politicians are frequently featured on phishing sites and in light of the ongoing general election in India, phishers are starting to target Indian users by using a local politician and his party as bait. 

Symantec recently observed a phishing site which spoofs Facebook’s appearance and includes Arvind Kejariwal, the former chief minister of New Delhi and leader of the Aam Aadmi Party. The phishing site was hosted on servers based in Lansing, Michigan in the US. 

figure1_facebookspam.png
Figure 1. A fake Facebook “like” button and a picture of Arvind Kejariwal on the phishing site

As seen in the previous image, the phishing site, titled “Unite With Us Against Corruption”, uses a poster of the Aam Aadmi Party along with a fake Facebook “like” button. The site’s background image is a picture of the party’s leader Arvind Kejariwal and his latest Twitter tagline, which states that “Political revolution in India has begun. Bharat jaldi badlega.” The second sentence translates to “India will soon change”. 

After clicking on the “like” button, users are prompted to input their Facebook login credentials so that they can “like” the Aam Aadmi party page. 

figure2_facebookspam.png
Figure 2. Users are asked to input their Facebook login data to “like” the Aam Aadmi party page

The phishers also used a misleading login prompt in the phishing page. Instead of mentioning the Aam Aadmi Party, the page tells users to log in with their Facebook details to like cute baby pictures. Symantec has already seen a similar phishing site which used a picture of a young girl. Phishers frequently use the same template to host different applications but this time, they forgot to change the reference to cute baby pictures. After the user enters their login credentials, the phishing site redirects the user to an acknowledgment page. The Web page then asks the user to click another “like” button.

figure3_facebookspam.png
Figure 3. A login confirmation and the “like” button on the acknowledgement page

The email address entered in the previous login page is now displayed on the acknowledgement page. The “like” button is placed beside a fake number that claims to show the amount of likes the party has already gained. However, the button is just a dummy and does not perform any functions. If users fell victim to the phishing site by entering their personal data, phishers would have successfully stolen their confidential information for identity theft purposes.

Symantec advises Internet users to follow these best practices to avoid becoming victims of phishing attacks.

  • Check the URL in the address bar when logging into your account to make sure it belongs to the website that you want to visit
  • Do not click on suspicious links in email messages
  • Do not provide any personal information when replying to an email
  • Do not enter personal information in a pop-up page or window
  • Ensure that the website is encrypted with an SSL certificate by looking for a picture of a padlock image or icon, “https”, or the green address bar when entering personal or financial information
  • Use comprehensive security software, such as Norton Internet Security or Norton 360 to protect you from phishing and social networking scams
  • Exercise caution when clicking on enticing links sent through emails or posted on social networks

Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

      No Comments on Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

Politicians are frequently featured on phishing sites and in light of the ongoing general election in India, phishers are starting to target Indian users by using a local politician and his party as bait. 

Symantec recently observed a phishing site which spoofs Facebook’s appearance and includes Arvind Kejariwal, the former chief minister of New Delhi and leader of the Aam Aadmi Party. The phishing site was hosted on servers based in Lansing, Michigan in the US. 

figure1_facebookspam.png
Figure 1. A fake Facebook “like” button and a picture of Arvind Kejariwal on the phishing site

As seen in the previous image, the phishing site, titled “Unite With Us Against Corruption”, uses a poster of the Aam Aadmi Party along with a fake Facebook “like” button. The site’s background image is a picture of the party’s leader Arvind Kejariwal and his latest Twitter tagline, which states that “Political revolution in India has begun. Bharat jaldi badlega.” The second sentence translates to “India will soon change”. 

After clicking on the “like” button, users are prompted to input their Facebook login credentials so that they can “like” the Aam Aadmi party page. 

figure2_facebookspam.png
Figure 2. Users are asked to input their Facebook login data to “like” the Aam Aadmi party page

The phishers also used a misleading login prompt in the phishing page. Instead of mentioning the Aam Aadmi Party, the page tells users to log in with their Facebook details to like cute baby pictures. Symantec has already seen a similar phishing site which used a picture of a young girl. Phishers frequently use the same template to host different applications but this time, they forgot to change the reference to cute baby pictures. After the user enters their login credentials, the phishing site redirects the user to an acknowledgment page. The Web page then asks the user to click another “like” button.

figure3_facebookspam.png
Figure 3. A login confirmation and the “like” button on the acknowledgement page

The email address entered in the previous login page is now displayed on the acknowledgement page. The “like” button is placed beside a fake number that claims to show the amount of likes the party has already gained. However, the button is just a dummy and does not perform any functions. If users fell victim to the phishing site by entering their personal data, phishers would have successfully stolen their confidential information for identity theft purposes.

Symantec advises Internet users to follow these best practices to avoid becoming victims of phishing attacks.

  • Check the URL in the address bar when logging into your account to make sure it belongs to the website that you want to visit
  • Do not click on suspicious links in email messages
  • Do not provide any personal information when replying to an email
  • Do not enter personal information in a pop-up page or window
  • Ensure that the website is encrypted with an SSL certificate by looking for a picture of a padlock image or icon, “https”, or the green address bar when entering personal or financial information
  • Use comprehensive security software, such as Norton Internet Security or Norton 360 to protect you from phishing and social networking scams
  • Exercise caution when clicking on enticing links sent through emails or posted on social networks

???????????????????? Heartbleed ???

      No Comments on ???????????????????? Heartbleed ???

暗号プロトコル SSL と TLS の最も普及している実装である OpenSSL に、新たな脆弱性が見つかりました。パッチ未適用のサーバーには、直接の深刻な危険が及ぶ恐れがあります。Heartbleed と呼ばれるこの脆弱性を悪用すると、攻撃者はセキュア通信を傍受して、ログイン情報や個人データ、さらには暗号鍵といった機密情報を盗み出すことができます。

Heartbleed、すなわち OpenSSL TLS の ‘Heartbeat’ 拡張機能に存在する情報漏えいの脆弱性（CVE-2014-0160）は、OpenSSL の Heartbeat というコンポーネントに影響します。OpenSSL は、SSL（Secure Sockets Layer）プロトコルと TLS（Transport Layer Security）プロトコルにおける普及率がきわめて高いオープンソース実装です。

Heartbeat は、実際の通信が発生していない間でも TLS セッションの接続を維持する、TLS プロトコルの拡張機能です。この機能によって、双方のコンピュータがまだ接続状態にあり、通信可能であることが確認されます。最初の接続が切断された場合でも、もう一度セキュア接続を確立するときに資格情報を再入力する手間も省けます。

この仕組みは次のとおりです。まず Heartbeat が OpenSSL サーバーにメッセージを送信し、次に OpenSSL サーバーがそのメッセージを送信者に戻し、接続を検証します。このメッセージには、ペイロードに当たる最大 64KB のデータパケットと、ペイロードのサイズに関する情報の 2 つのコンポーネントが含まれています。

ところが、攻撃者は、OpenSSL に存在する Heartbleed 脆弱性を悪用して、ペイロードのサイズに関する情報を偽装することができます。たとえば、実際には 1KB しかないペイロードを 64KB と称して送信できるのです。

この脆弱性がどのような危険をもたらすのか、その手掛かりは、OpenSSL サーバーがこの不正な Heartbeat メッセージを処理する方法にあります。OpenSSL は、ペイロードの実際のサイズが、メッセージに指定されているサイズ情報と一致するかどうかの検証を行いません。代わりに、送信者が送ったペイロードが正しいサイズであると想定して、送信元のコンピュータに送り返そうとします。しかし、このペイロードは実際には 64KB 分のデータを持っていないため、アプリケーションのメモリ上で隣の場所に格納されているデータを使って、自動的にペイロードの空きを埋めようとします。つまり、1KB のペイロードを受信したとすると、サーバーはメモリに格納されている別の 63KB 分のデータも一緒に送り返すことになります。この部分に、ユーザーのログイン情報や個人データ、さらにはセッション鍵や秘密鍵が含まれている恐れがあります。

アプリケーションが送り返すデータはランダムなので、攻撃者は、断片的で役に立たないデータしか受信できないかもしれませんが、この脆弱性の性質を考えると、攻撃は何度も何度も繰り返して実行できるため、攻撃を繰り返すうちにアプリケーションが格納しているデータを広い範囲で手に入れることも可能です。

この攻撃を行っても、秘密鍵を盗み出すのはきわめて難しいと考えられます。データは逐次的に格納されるので、新しいデータは古いデータよりも前の位置に格納されます。秘密鍵は、通常、メモリ上でペイロードより「後ろ」に格納されるので、アクセスされる可能性は高くありません。データのうちリスクにさらされる可能性が最も高いのは、現在の SSL/TLS セッションの内容です。

Heartbleed は、今年になって発見された一連の SSL/TLS に関する脆弱性のなかでも最大のバグです。TLS と、それより先に誕生した SSL は、どちらもインターネット通信のためのセキュアプロトコルであり、2 つのコンピュータ間のトラフィックを暗号化するよう動作します。

今年 2 月、Apple 社は同社製ソフトウェアの SSL に影響する 2 つの重大な脆弱性を修正しました。最初に公開されたのは、同社のモバイルオペレーティングシステムである iOS に対する更新で、アクセス制限のあるネットワークポジションを利用する攻撃者が、SSL/TLS で保護されているセッションのデータを取得または変更できるというバグを修正するパッチです。数日後に、今度はデスクトップオペレーティングシステムである OS X に対する更新が公開されました。同じ脆弱性が OS X にも影響すると判明したためです。

3 月には、セキュリティライブラリ GnuTLS で証明書の脆弱性が発見されています。GnuTLS は数多くのバージョンの Linux で使われており、Red Hat 社のデスクトップ製品やサーバー製品、Ubuntu および Debian ディストリビューションで採用されています。

GnuTLS は、SSL/TLS のオープンソース実装であり、このバグが見つかったということは、つまり GnuTLS が「SSL サーバ証明書」の検証時に発生しうる一部のエラーを正しく処理できないことを意味します。攻撃者は、このバグを悪用して、特別に細工された「SSL サーバ証明書」を使って GnuTLS を欺き、悪質な Web サイトを信頼させることが可能になります。この脆弱性に対しては、GnuTLS によってただちにパッチが公開されました。

Heartbleed は、最近 SSL/TLS 関連で発見された脆弱性のなかでも特に深刻です。この脆弱性の性質と、最も普及している SSL/TLS 実装に影響するという事実から、これは緊急のリスクにつながる可能性があります。

企業向けの注意事項:

  • これは OpenSSL ライブラリの脆弱性であり、SSL/TLS プロトコルやシマンテックが発行する「SSL サーバ証明書」の欠陥ではありません。
  • OpenSSL 1.0.1 から 1.0.1f を使っている場合には、最新の修正版（1.0.1g）に更新するか、Heartbeat 拡張機能を使わずに OpenSSL を再コンパイルする必要があります。
  • 修正版の OpenSSL への更新後、脆弱性が悪用されたことで Web サーバーの「SSL サーバ証明書」が侵害された、または秘密鍵を盗まれたと考えられる場合には、認証局に連絡して「SSL サーバ証明書」の再発行を依頼してください。
  • 基本的なセキュリティ対策（ベストプラクティス）として、侵入を受けたサーバーのメモリから漏えいした可能性を考慮し、エンドユーザーのパスワードをリセットすることも検討する必要があります。

消費者向けの注意事項:

  • 利用しているサービスプロバイダのサーバーが脆弱な場合は、データが第三者に盗み見られた可能性があります。
  • 利用しているプロバイダからの通知を見逃さないようにしてください。脆弱性を確認したプロバイダからパスワードを変更するよう連絡があった場合には、指示に従ってパスワードを変更してください。
  • たとえパスワードの更新を促す内容であっても、攻撃者からのフィッシングメールである可能性には注意し、公式サイトのドメインを確認したうえで、偽装された Web サイトにアクセスしないように気を付けてください。
  • 信頼できる著名な Web サイトとサービスのみを利用してください。そういったサイトやサービスでは、脆弱性に速やかに対処する可能性が高いと思われます。
  • 銀行口座やクレジットカードの明細に注意して、不審な取引がないかどうかを確認してください。

 

2014 年 4 月 11 日更新: シマンテックの SSL Toolbox の Certificate Checker を使って、Web サイトがこの悪用に対して脆弱かどうかを確認することができます。以下の URL から Certificate Checker にアクセスできます。
https://ssltools.websecurity.symantec.com/checker/

Certificate Checker を使用するには、［Check your certificate installation］をクリックして Web サイトの URL を入力します。

heartbleed-explained_02.png

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

HeartBleed, OpenSSL and Symantec Email & Web Security

      No Comments on HeartBleed, OpenSSL and Symantec Email & Web Security

By now you should be well aware of the vulnerability CVE-2014-0160, nicknamed HeartBleed, that exists in a number of versions of OpenSSL – an extremely popular open source cryptographic library.
Yesterday, we provided some guidance on st…

Behind the CARO conference’s curtains: Meet AVAST speakers!

      No Comments on Behind the CARO conference’s curtains: Meet AVAST speakers!

For seven years, the CARO Workshop has been hosted in Europe. It is an outstanding technical meeting, attended by some of the best malware researchers in the world. In 2014, the CARO workshop comes to America. ~CARO’s conference official website We are proud and happy to introduce you to our AVAST speakers and Security Experts […]

2014 ???????????????????????: ???????????

      No Comments on 2014 ???????????????????????: ???????????

istrbanner.png

今年も、シマンテックの最新の調査結果をお伝えする『インターネットセキュリティ脅威レポート』（ISTR）（英語）をお届けする時期になりました。過去 1 年間のシマンテックの調査と解析に基づいて、脅威を取り巻く世界の現状を考察しています。今年のレポートで取り上げている大きな傾向としては、データ侵害と標的型攻撃の大幅な増加、モバイルマルウェアとランサムウェアの進化、モノのインターネットがもたらす潜在的な脅威といったことが挙げられます。以下、これらのテーマについてそれぞれ詳しく見ていきます。

大規模なデータ侵害の年
2011 年は「データ侵害の年」と呼ばれましたが、2013 年のデータ侵害は前年までの規模をはるかに超えるものでした。2013 年、データ侵害の件数は 2012 年から 62% 増え、さらには漏えいした個人情報の数は 5 億 5,200 万件と、実に 368% も増加しています。また、データ侵害の被害が大きかった上位 8 件すべてにおいて、漏えいした個人情報の数が 1,000 万を超えた初めての年でもあり、まさに「大規模な」データ侵害の年だったと言えます。その前年、2012 年は同様の規模のデータ漏えいは、わずか 1 件にすぎませんでした。

中規模企業に狙いを定める攻撃者
これまでのレポートをお読みであれば、攻撃者の狙う主な標的が中小規模の企業（SMB）であることをご存じでしょう。今年もその傾向は変わっていません。2013 年には、SMB 全体が標的型攻撃の半数を超えて 61%（2012 年は 50%）に達し、なかでも中規模（従業員数 2,500 人以上）企業への攻撃が最も大きく増加しました。

規模を問わず全企業に対する攻撃も、2012 年から 91% とほぼ倍増しています。サイバー犯罪者が、攻撃の成功率を高めようとして水飲み場型攻撃やスピア型フィッシングを仕掛けている点は前年と同様ですが、攻撃活動に電子メールを利用する比率が下がってきたため、スピア型フィッシング攻撃は 23% 減少しました。一方、水飲み場型攻撃によってドライブバイダウンロードを通じた攻撃が増え、標的が頻繁に訪れる Web サイトでユーザーを待ち構えて狙うようになっています。ゼロデイ脆弱性が 61% 増加したことも、攻撃を助長しました。攻撃者は、ゼロデイ脆弱性を悪用することで、適切にパッチが適用されていないサイトに攻撃を仕掛け、余分な手間をほとんど、あるいはまったく掛けずに被害者の環境に感染できるためです。

最も多く狙われた業種は、引き続き政府機関でした（全攻撃の 16%）。今回のレポートでは、攻撃の量だけでなく、誰が好んで標的にされるのか、標的に選ばれる確率はどのくらいなのかも調べています。悪いことに、その確率の点で誰が有利ということはなく、標的型攻撃には全員が備えなければなりません。ただし、その確率を確かめた結果、意外な事実も判明しています。中規模の採掘会社で個人秘書を務めている方には残念なニュースですが、あなたは「最も狙われている」業種です。

消費者のプライバシーを侵害するモバイルマルウェアとマッドウェア
深く考えずに新しいアプリをモバイルデバイスにダウンロードする人は少なくありませんが、悪質なアプリの多くは、きわめて不快な機能や望ましくない機能を備えています。2013 年に作成された新しいマルウェアのうち、33% はユーザーを追跡し、20% は侵入先のデバイスからデータを収集していました。また 2013 年は、Android デバイスに対するリモートアクセスツールキット（RAT）が出現し始めた最初の年でもあります。デバイス上で実行されている RAT は、監視をしたり電話を掛けたりするほか、SMS メッセージを送受信する、デバイスの GPS 座標を取得する、カメラとマイクを有効にして利用する、デバイスに保存されているファイルにアクセスするといったことが可能です。もちろん、被害者はそれを知ることもなければ、同意もしていません。

爆発的に増え、ますます悪質になるランサムウェア
シマンテックが以前に予測したとおり、2013 年にはランサムウェア（コンピュータやファイルをロックする悪質なソフトウェア）が急増しました。過去 1 年間で 500% という爆発的な増加を示したことに加え、身代金の受け取りに成功するたびに 100 ～ 500 ドルの利益があるという、攻撃者にとっては非常に儲かる商売になっています。また、高度な暗号化によってデータを人質に取り、所定の期日までに身代金を支払わなければデータを完全に消去すると脅すなど、攻撃の悪質さも増してきています。

個人情報窃盗の未来を握る「モノのインターネット」
過去 1 年間にハッキングの被害に遭ったのは、冷蔵庫とベビーモニターのどちらでしょうか。お客様にこう質問すると多くの人々は「両方」と答えますが、正解はベビーモニターです。ニュースなどでどう報じられていようと、インターネットに接続された冷蔵庫が実際に攻撃を受けたことは、まだありません。ただし、あくまでも「まだない」だけです。セキュリティ研究者は 2013 年に、自動車、防犯カメラ、テレビ、医療機器に対する攻撃がいずれも可能であることを実証しています。次は冷蔵庫の番かもしれません。モノのインターネット（IoT）は今ちょうど成長過程にあり、関連する脅威が追随するのは間違いありません。今年のレポートで、これまでに判明した点に触れていますが、インターネットに接続されているデバイスのうち攻撃を受けるリスクが最も高いのはホームルーターであるという見解は一致しています。

次に起こるのは何でしょうか。IoT デバイスには個人情報や銀行口座などの情報が保存されているので、実際に冷蔵庫がハッキングされる事案が発生するのも時間の問題でしょう。今のところ、IoT デバイスのメーカーとユーザーのどちらにとってもセキュリティは二の次です。深刻なセキュリティ事案が発生するまでは真剣に考慮されないかもしれませんが、潜在的なセキュリティリスクに備えて今すぐ検討を開始しておけば、いざというときのために万全の準備をすることができます。まずは、今年の ISTR をお読みいただくことから始めてください。

詳しくは、『インターネットセキュリティ脅威レポート』第 19 号（英語）をご覧ください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。