- 770投稿者：ヾ(ﾟдﾟ)ﾉ゛ﾊﾞｶｰ 投稿日：2014年04月08日(火) 20時26分25秒
- 今日（米国時間4/7）の午後、私の知っている多くのセキュリティー関係者がうろたえている。非常に深刻なバグがOpenSSLに見つかり、公表された。
OpenSSLは、インターネットトラフィックの非常に〈非常に〉多くの部分で使われている暗号化ライブラリーだ。
インターネットの50%で使われていると言われるApacheウェブサーバーは、OpenSSLを使っている。
セキュリティー研究者らが “Heartbleed“と呼ぶそのバグを悪用すると、過去2年以内のあらゆるバージョンのOpenSSLが走るシステムで、
システムメモリー上にある大量のデータを暴露することが可能だ。
しどこかのアタッカーが、いずれ解読するつもりでサーバーから山ほどの暗号化データを取り出して持っていたら？
それらを解読するためのキーを手に入れているかもしれない（アタックしたサーバーの構成による。例えば、Perfect Forward Secrecyを使って
設定されているかどうか）。
非常に控え目に言って、これは悪いニュースだ。
問題のバグは、OpenSSLの “heartbeat” という機能の実装に存在する。そこから “Heartbleed” と名付けられた。
このバグは、OpenSSLに2年以上存在していたが（2011年12月以来、OpenSSL 1.0.1〜1.0.1f）、今日初めて発見され公表された。
さらに悪いことには、このバグを悪用してもその痕跡はログに残らないようだ。
http://jp.techcrunch.com/2014/04/08/20140407massive-security-bug-in-openssl-could-effect-a-huge-chunk-of-the-internet/