本日はJLA理事会があってYAPCには参加できない野首です。
Debian/Ubuntu等のOpenSSL問題について、進展があったのでご報告いたします。
まずOpenSSHの公式な対応として、
というパッケージが容易されました。これは危険なバージョンのOpenSSLが生成する、
危険な乱数パターンの完全なリストです。そして、
のクライアントパッケージにはssh-vulnkeyというコマンドが追加されました。このコマンドによって、
ホスト上の全ユーザの.ssh以下にある典型的なファイル名の鍵、authorized_keysをチェック
できるようになりました。
そしてサーバパッケージでは、アップグレード時に危険なホスト鍵のチェックを行い、
必要ならホスト鍵を生成しなおすようになりました。同時に、ssh-vulnkeyでホスト上の
全ユーザのチェックも行います。
危険なOpenSSLで生成した鍵を他にコピーしたような状況には対応しきれませんが、
Debianホストに関する対応としては最低限の義務を果たしたと思います。
Ubuntuでは、同様の処理をOpenVPN
などでも実施していますが、regression
を起こしてしまうなど、混乱が続いているようです。
おそらくさまざまなパッケージでOpenSSLに依存しているものが、同様の対処をしてゆくものと
予想されます。しかしながら、ssh鍵やSSL通信用の証明書など、他の非Debian/Ubuntu環境に
コピーして利用するような利用場面も十分考えられるため、近くにDebian, Ubuntuユーザのいる
ような人たちもこの問題に気をつける必要があります。
技術的な解説については、MetasploitのH D Moore氏による記事、
Debian OpenSSL Predictable PRNG Toys
が詳しいです。これもかなり辛らつなタイトルですが、Metasploitプロジェクトは
openssh-blacklistに含まれる完全なリストの作成に協力してもらっていたりします。
批判は粛々と受けなければならないでしょう。
今後も対策はいろいろと打ち出されてゆくと思われます。
まだまだ情報が拡充されているので、定期的にチェックしたほうが良いでしょう。
大きな進展があれば、またお伝えしたいと思います。
※このエントリはZDNetブロガーにより投稿されたものです。朝日インタラクティブ および ZDNet編集部の見解・意向を示すものではありません。
- 前のエントリー: Debian, Ubuntu等に限定したOpenSSLの脆弱性
- 次のエントリー: LC2008: 発表者2次募集のお知らせ
「日本Linux協会blog」 のバックナンバー
-
Japan Linux Conference 2008のご案内
今日は、開催を来週に控えている、協会主催、Japan Linux Conference 2008(略称: LC2008)について、ご案内させていただこうと思います。◆ライトニング・トーク発表者 募集中現在、2次募集を受け付け中です。小ネ... -
LC2008: 発表者2次募集のお知らせ
-
Debian, Ubuntu等に限定したOpenSSLの脆弱性
-
続 VPSについて
-
Japan Linux Conference 2007動画公開
- 日本Linux協会blog 一覧へ »
-
BIベンダーの選び方 −BIベンダー選定のための評価フレームワーク
- 日本モバイルインターネット端末市場分析 〜2008〜2012年のMID及びスマートフォン...
- 【導入事例集】多業種から評価されているWeb会議システム、24社の導入事例をご紹介
- CRMの限界を超える!「顧客経験価値マネジメント」実現の5段階
- POSデータを活用し、売上アップを導く「分析力」とは?
- ストレージ問題の課題に対する解決方法
- 企業コスト削減の傾向と対策 〜最新アプローチのトレンド〜
- iPhoneをビジネスで活用する時代へ〜ビジネス&モバイルのミライ〜
- 【日産自動車:BI導入事例】連結対象の36社からの情報を元に車種別損益管理を実現
- 中堅企業におけるテクノロジーと成長
企画特集
-
電力に"ふた"をする独自の省エネ機能とは!?
動的に電力割り当ても可能なHPの最新鋭ブレードに迫る -
【最終警告】パンデミック対策特集
サービス品質を保証するためのリスクマネジメントとは -
100万円で実現!中小企業の情報漏えい対策
中小企業の課題!?セキュリティ管理者不在でも大丈夫 -
企業ITシステムの企画、構築、運用のイロハ
戦略的なITシステムのために、今考えるべきポイント -
グリー、3人のエンジニアが語る仕事への想い
連載第2話、元SIerに聞くリニューアルと開発の舞台裏 -
高まるiSCSIストレージへの注目度
ストレージシステムの4つの課題とiSCSI導入のメリット -
―エン・ジャパン厳選求人☆毎週更新―
ハンゲームの社長が語る・人材とサービスの在り方 -
大丈夫?あなたの会社のセキュリティ対策
中堅・中小企業のネットワーク・セキュリティを考える -
マネジメントの「コラム」と「コネタ」
今日のキーパーソンは誰? -
容量制限によるメール消去は一切無し!
全てを保存するメールセキュリティSaaSが登場 -
急増するオンライン犯罪への解決策!
オンラインサービス保護ソリューション -
J-SOX法制定により内部統制の整備が急務に
重要性高まるActive Directoryの課題と対処法を公開中
-
11. Lock分析とWait分析
この3分間のビデオでは、アプリケーションのクリティカルセクションを分... -
12. 高度な診断
この3分間のビデオでは、Intel parallel Composerが、Intel C++コンパイ...
新着企業動向
-
アズジェント、ブルーコートシステムズ社とディストリビュータ契約を締結
アズジェント -
トータルメッセジングソリューションセミナー/メールの運用コスト削減からセキュリティ対策、...
ミラポイントジャパン -
【EMC Mail News】シスコ、EMC、VMwareの3社が新しい連合組織「Virtual Computing Environme...
EMCジャパン -
WisePointシリーズ
ファルコンシステムコンサルティング - 企業動向一覧へ»
