Flameに悪用された証明書を失効するなど、対策の概要を発表(日本マイクロソフト) | ScanNetSecurity
2024.04.28(日)

Flameに悪用された証明書を失効するなど、対策の概要を発表(日本マイクロソフト)

日本マイクロソフトは、「セキュリティ アドバイザリ(2718704)承認されていないデジタル証明書により、なりすましが行われる」に関連し、証明書の失効とWindows Updateについて発表した。

脆弱性と脅威 セキュリティホール・脆弱性
Flameが悪用した問題の概要と、マイクロソフトが実施した対策。
Flameが悪用した問題の概要と、マイクロソフトが実施した対策。 全 5 枚 拡大写真
日本マイクロソフト株式会社は6月13日、同社が6月4日に公開した「セキュリティ アドバイザリ(2718704)承認されていないデジタル証明書により、なりすましが行われる」に関連し、証明書の失効とWindows Updateについて発表した。このアドバイザリには、マイクロソフトの証明書で署名されたサードパーティプログラムが作成できる可能性がある、また正常なWindows Updateサーバから更新が行われていることを保証できないという、Flameに関連する問題を含んでいる。

Flameで利用されたコード署名はコリジョンアタックが行われており、マイクロソフトのルート証明書に関連づけられていた。また、Flameの感染方法のひとつとして、Windows Updateが利用されていた。そこでマイクロソフトでは、TSLに対して問題となったTSL証明書の失効処理を実施するとともに、TSLの署名機能を停止した。さらに、SHA-1、SHA-2を利用したマイクロソフトのルート証明書と分離した新たなTSL証明書を作成した。これによりコード証明に利用されないようにした。あわせてWindows Updateエージェントを修正し、コード署名に利用されない証明書(問題となったTSL証明書)を無効とした。さらに、8月に1,024bit未満のRSA証明書を、より強度の強いものへと変更するという。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

    今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃

  2. 雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  3. セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

    セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信

  4. タカラベルモントの海外向けウェブサイトのサーバがフィッシングメール送信の踏み台に

    タカラベルモントの海外向けウェブサイトのサーバがフィッシングメール送信の踏み台に

  5. 重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

    重い 高い 検索も使いにくいメールを企業の 6 割が使う理由

  6. 研究開発の推進責務が撤廃ほか ~「NTT法」改正法律成立を受け NTT がコメント

    研究開発の推進責務が撤廃ほか ~「NTT法」改正法律成立を受け NTT がコメント

  7. RoamWiFi R10 に複数の脆弱性

    RoamWiFi R10 に複数の脆弱性

  8. 2024年第1四半期 IPA 情報セキュリティ安心相談窓口の相談状況、サポート詐欺被害時の漏えい可能性判断ポイントほか

    2024年第1四半期 IPA 情報セキュリティ安心相談窓口の相談状況、サポート詐欺被害時の漏えい可能性判断ポイントほか

  9. スペシャリスト集結! マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは? AeyeScan 導入企業との公開対談

    スペシャリスト集結! マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは? AeyeScan 導入企業との公開対談PR

  10. 脆弱性診断自動化ツール「AeyeScan」を基盤に「診断マネジメントプラットフォーム」を提供

    脆弱性診断自動化ツール「AeyeScan」を基盤に「診断マネジメントプラットフォーム」を提供

ランキングをもっと見る