「Heartbleed」の影響についてアナウンスを - IPA呼びかけ

暗号化通信で利用されるライブラリ「OpenSSL」に深刻な脆弱性「Heartbleed」が見つかった問題で、情報処理推進機構（IPA）は、ウェブ管理者へ対策を呼びかけている。

脆弱性「Heartbleed」の内容（IPA）

同機構では、これまでも同脆弱性について注意を喚起してきたが、ウェブ管理者向けに具体的な対策を示し、対応を呼びかけたもの。問題となっている「CVE-2014-0160」は、悪用されると、秘密鍵をはじめ、本来秘匿すべき情報が漏洩するおそれがある。

脆弱性の影響を受けないよう、修正済みの「同1.0.1g」以降にアップデートしたり、アップデートできない場合は、「heartbeats拡張」を無効にするため再コンパイルするよう求めている。

ウェブサイトで「OpenSSL」を利用している場合は、秘密鍵がすでに漏洩している可能性があると指摘。脆弱性を解消した上で、従来の証明書を失効させ、あたらしい秘密鍵により証明書を再取得、再設定することを推奨している。

さらにSSL通信を利用している場合、「影響があり対策を講じた」や「影響がない」など脆弱性の影響の有無にかかわらず、利用者にアナウンスするよう求めている。

（Security NEXT - 2014/04/15 ）ツイート