OpenSSL暗号ライブラリの重大な脆弱性に関連する、侵害されたTLS証明書8件が発見されたことを受け、インターネットは高度な警戒態勢にあります。Heartbleedとして知られるこの欠陥により、ハッカーは保護された通信を復号し、秘密鍵、セッションクッキー、パスワードを盗み出すことが可能になりました。
攻撃は、大手企業や政府機関のサーバーを含む数千のサーバーに影響を及ぼしました。復旧には数年を要し、OpenSSLのパッチ適用、数百万のTLS鍵の再発行、証明書の失効、パスワードの変更、組み込みシステムの更新などが行われました。
eMudhraの侵害された鍵は、極めて深刻な欠陥を抱えていました。標準的なNIST P-384秘密鍵には384ビットのエントロピーがありますが、これらの鍵は3〜8ビットしかありませんでした。エンジニアは、エントロピー値が4、56、66、115、155、156、230、237ビットの鍵を発見しており、いずれも許容される安全基準を大きく下回っていました。
Valsordaは「あり得ないことだ」と述べ、危険な鍵生成インターフェースのサイズパラメータが誤って1に設定された可能性を指摘しました。BGP.toolsのBen Cartwright-Coxは、サンプルコードが誤って本番環境に流出した可能性を推測し、この見落としを「とんでもない」と評しました。今回の事例は、暗号の実装とシステム管理における継続的なリスクを浮き彫りにしています。
出典: Ars Technica · 要約：HeadlinesBriefing