OpenSSLに脆弱性

　サーバ管理上、必要なリモートログインの方法に関係するSSHの暗号鍵生成ライブラリに脆弱性が発見されたという。普通の技術と思われているだけに、やや心配なところである。

OpenSSLの脆弱性突くブルートフォース攻撃発生、
簡単に暗号解読の恐れ (ITmedia)
DebianのOpenSSLライブラリに予測可能な乱数の生成を行う脆弱性

　リモートでログインにするのに、単純にはユーザ、パスワードで行うわけだが、SSHで暗号化されているとはいえ、パスワードの総当り攻撃を受ける可能性はある。実際に公開されているサーバだと、どこからIPアドレスを仕入れてくるのか、あっという間に世界中からログインして侵入しようとパスワード攻撃がかけられてくる。ランダムなパスワードでトライしてくるから、まず当たることはないが、アクセスログは溜まるはで気持ちが悪い。そこで公開鍵方式でサーバ／クライアント間で鍵交換を行うことによって、これを防ぐことができる。万が一にもパスワードが一致してしまってもクライアントの中の鍵が一致しなければログインはできないしくみである。ここに登場するのがOpenSSLであり、SSHサーバばかりでなく、HTTPSのSSLサーバ、VPNサーバであるOpenVPNなどに利用される。暗号化の方法も数あれど、現在はOpenSSLがもっとも一般的といえるだろう。

　そのOpenSSLの鍵発生の乱数ジェネレータに脆弱性が見つかって、すでにそれを衝いて強引に暗号解読までやってしまうスクリプトまで出回っているというのだから、穏やかではない。
　ただ今のところ、その脆弱性があるのはDebian、Ubuntuだけのようである。特にUbuntuはクライアントLinuxとしても有望視されているだけに、セキュリティの不安要素が出てしまうのは明らかにマイナスイメージである。Red Hat系のFedoraなどはライブラリのパッケージが異なるから大丈夫だということだろうか。

　いずれにしても公開サーバはLinuxにする場合がほとんどだから、というかWindowsサーバを外部に公開するという話は聞かないからそういう心配をしたことはない。遠隔地にあるWindowsクライアントから、Linuxサーバにいかに安全にリモートログインして管理するかということばかりである。その生命線を揺るがしかねないことであるから、管理者なら誰しもが対処しなければならないことになるだろう。しかし脆弱性は至る所に見つかるものだ。完全なものというのは存在しないだろうから、こうした修正を繰り返しながら、ネットの時代は進んでいくしかないのだろう。