九州ソフトウェアテスト勉強会Vol6

九州ソフトウェアテスト
勉強会 VOL.6
!
木下真哉

今日、みんなで考えたい
こと。

リリース前の脆弱性チェッ
クってどうしてる？

脆弱性
コンピュータやネットワークなどの情報システムにお
いて、第三者が保安上の脅威となる行為(システムの
乗っ取りや機密情報の漏洩など)に利用できる可能性の
あるシステム上の欠陥や仕様上の問題点。
!
<IT用語辞典 e-Wordsより抜粋>
http://e-words.jp/w/E88486E5BCB1E680A7.html

なぜ、脆弱性チェックに
ついて考えたいのか？

OpenSSLの脆弱性問題
「OpenSSL」の開発を進める「OpenSSL Project」が2014
年4月7日（米国時間）に情報漏えいの脆弱性に関する
不具合があったことを発表した。
!
<関連記事：OpenSSLに情報漏えいの危険がある脆弱
性、JPCERT/CCが注意喚起>
http://itpro.nikkeibp.co.jp/article/NEWS/20140408/549282/

OpenSSL Projectの発表内容
OpenSSL Security Advisory [07 Apr 2014]
========================================
!
TLS heartbeat read overrun (CVE-2014-0160)
==========================================
!
A missing bounds check in the handling of the TLS heartbeat extension can be
used to reveal up to 64k of memory to a connected client or server.
!
Only 1.0.1 and 1.0.2-beta releases of OpenSSL are affected including
1.0.1f and 1.0.2-beta1.
!
Thanks for Neel Mehta of Google Security for discovering this bug and to
Adam Langley <agl@chromium.org> and Bodo Moeller <bmoeller@acm.org> for
preparing the ﬁx.
!
Affected users should upgrade to OpenSSL 1.0.1g. Users unable to immediately
upgrade can alternatively recompile OpenSSL with -DOPENSSL_NO_HEARTBEATS.
!
1.0.2 will be ﬁxed in 1.0.2-beta2.
!
!
https://www.openssl.org/news/secadv_20140407.txt

OpenSSLの脆弱性の原因
メモリコピー処理の実装で境界チェックを怠ったという
単純なミスに起因すると言われている。
!
<関連記事：発見企業が語る、Heartbleedの残した「教訓」>
http://www.atmarkit.co.jp/ait/articles/1404/21/news027.html
!
<関連記事：タイガーチームセキュリティレポート>
http://www.tiger1997.jp/report/activity/securityreport_20140410.html
!
<関連記事：を賑わすHeartbleedの脆弱性とは？！ >
http://developers.mobage.jp/blog/2014/4/15/heartbleed

OpenSSLの脆弱性でどのく
らいの被害がでているのか？

被害状況：国内
【三菱UFJニコス、のべ894人の会員情報が不正閲覧】
!
クレジットカードの発行事業などを手がける三菱UFJニコスは18日、のべ
894人の会員登録情報が不正閲覧されたと発表した。OpenSSLの脆弱性を
狙った不正アクセスが原因で、閲覧された情報はクレジットカード番号
の一部や生年月日、氏名住所など。暗証番号やログインパスワードは不
正閲覧されていない。該当ユーザーにはメールおよび手紙、電話で連絡
済み。
!
<関連記事>
http://news.mynavi.jp/news/2014/04/20/105/

被害状況：国外
【OpenSSLの脆弱性で初の被害、カナダや英国で発覚】
!
オープンソースのSSL/TLS実装「OpenSSL」に極めて重大な脆弱性が発覚
した問題で、カナダ歳入庁は4月14日、何者かがこの脆弱性を悪用して、
納税者約900人の社会保障番号を同庁のシステムから削除していたことが
分かったと発表した。
また、育児情報サイトの英Mumsnetもこの問題を悪用され、ユーザーの
アカウントに不正アクセスされていたことが分かったと発表した。
!
<関連記事>
http://www.itmedia.co.jp/enterprise/articles/1404/15/news035.html

現在のソフトウェア
・社会全体における重要なインフラとなっている。
!
・不具合１つで社会に多大な損害を与えてしまう。

ソフトウェアのリリース前に重大な脆弱性を
見つけるために、何ができるのかを考えてみ
ませんか？

ご清聴ありがとうござい
ました。

九州ソフトウェアテスト勉強会Vol6

Related slideshows

More Related Content

九州ソフトウェアテスト勉強会Vol6