検索ハートブリードのロゴ。Heartbleed)とは、2014年4月に発覚したオープンソース暗号ライブラリ「OpenSSL」のソフトウェア・バグのことである。当時、信頼された認証局から証明書が発行されているインターネット上のWebサーバの約17%(約50万台)で、この脆弱性が存在するHeartbeat拡張が有効になっており、サーバーの秘密鍵や利用者のセッション・クッキーやパスワードを盗み出すことが出来る可能性があった[3][4][5][6][7]。した善意のパッチ(改善コード)である。バージョン1.0.1に幅広く採用され、2012年3月14日に公開された[11][12]。1.0.1シリーズの全ての版にバグ(不具合)があると発表した。Security(TLS)のハートビート拡張プログラムのサーバーメモリ操作のエラー処理にあった[13][14]。このバグは生存確認信号(Heartbeat)の発信毎に、アプリケーションメモリーを64キロバイトずつ露出する可能性があった[14]。このバグは不適切なハートビート要求をサーバーに送信し、サーバーが返信する際に実行される。サーバーは通常は受け取った情報と同じ大きさのデータのバッファー(塊)を返信するが、バグにより境界検査が欠けていたので、バグがあるバージョンのOpenSSLはハートビート要求の大きさの妥当性を確認しない。その結果、攻撃者はサーバーのメモリを好きな大きさで見ることが出来る[15]。CVE-2014-0160が割り当てられた[16]。このバグをHeartbleed(心臓出血)と命名し、ロゴを作り、Heartbleed.comドメインを立ち上げてバグの説明を公開したのは、フィンランドのサイバーセキュリティ会社コデノミコンの3人の技術者である[17]。コデノミコン社によると、最初にOpenSSLのバグを公表したのはGoogleのセキュリティーチームのニール・メータだが、コデノミコン社も独自に新しく開発中だった、暗号化、認証プロセスのテストツール検証の過程で発見していた[11]。メータは詳細は語らずに、コデノミコン社を賞賛した[18]。監査ログの調査によると、数人の攻撃者は問題発覚の少なくとも5ヶ月前に欠陥を発見していた[19][20][21]。ブルームバーグに対し2人の内部情報源は、アメリカ国家安全保障局は欠陥が混入してから短期間の内に欠陥に気づいたが、公表する代わりに秘密にして、欠陥を自分達の任務のために使うことにしたと証言した[22][23][24]。NSAはこの訴えを否定している[25]。オプションを付けて再コンパイルする)か、脆弱性を修正したバージョン(1.0.1g以降)への更新となる[14]。沿革[編集]日付は各地の現地時間。OpenSSLのソースコードにハートブリード・バグが混入。1.0.1を公開[26]。CloudFlare社が自社製品を修正[27]。Googleのセキュリティーチームのニール・メータが、OpenSSLにハートブリード・バグを報告[28]。コデノミコン社がNCSC-FI(旧CERT-FI)にハートブリード・バグを報告[11]。1.0.1gを公開[26]。ウィキメディア財団が利用者にパスワードの変更を呼びかけ[29]。カナダ歳入庁は脆弱性を確認し、サービスの公開を停止した[30]。警視庁が日本国内における脆弱性を標的としたパケットの増加を観測したことを発表した[31]。三菱UFJニコスで不正閲覧事件が発生。894人のWEB会員の個人情報が不正閲覧された[32]。カナダ歳入庁が不正閲覧を発表。900人の納税者の社会保障番号が不正閲覧された[30]。カナダ歳入庁から個人情報を盗み出した犯人が捕まる[33][34]。Initiative」を設立し、OpenSSLに援助を行う模様[35]。2014年4月10日閲覧。2014年4月10日閲覧。2014年4月8日閲覧。2014年4月11日閲覧。2014年4月10日閲覧。2014年4月10日閲覧。2014年4月10日閲覧。2014年4月13日閲覧。2014年4月15日閲覧。2014年4月13日閲覧。2014年4月8日閲覧。2014年4月8日閲覧。2014年4月8日閲覧。2014年4月9日閲覧。2014年4月10日閲覧。2014年4月10日閲覧。2014年4月13日閲覧。2014年4月11日閲覧。2014年4月10日閲覧。2014年4月11日閲覧。2014年4月11日閲覧。2014年4月11日閲覧。2014年4月13日閲覧。2014年4月14日閲覧。2014年4月27日閲覧。2014年4月12日閲覧。2014年4月9日閲覧。2014年4月26日閲覧。2014年4月26日閲覧。2014年4月26日閲覧。2014年4月26日閲覧。2014年4月27日閲覧。2014年4月27日閲覧。attacksに関する学習教材があります。(日時は個人設定で未設定ならばUTC)。表示-継承ライセンスの下で利用可能です。追加の条件が適用される場合があります。詳細は利用規約を参照してください。開発者Cookieに関する声明モバイルビュ。