PKIやTLS/SSLのセキュリティに関する記事をまとめた最新ニュースです。全シリーズを見るにはこちらをクリックしてください。

TLSニュース

• 10月のCA/Bフォーラムの会合で、Appleは新しいS/MIMEプロファイルの要件と、2022年4月から、S/MIME証明書の有効期間を2年間とすることを発表しました。
• また、S/MIMEワーキンググループでは、新しいベースライン要件のの開発を進めており、今月のCA/Bフォーラムではそのラフドラフトが議論されました。しかし、この要件を採用するには時間がかかると思われ、1～2年後に施行されると思われます。
• NSAは、ALPACAと名付けられたワイルドカード証明書の新たなリスクについて組織に警告しました。NSAは、組織に対し、現在使用されているワイルドカード証明書の範囲を把握し、今後はこの種の攻撃を避けるためにワイルドカード証明書の使用を制限することを推奨しています。
• Let's Encryptのルート証明書が9月30日に期限切れになった後、Let's Encryptのルート証明書を使用しているFortinet、Shopify、Google Cloud Monitoringなど、多くのウェブサイトで問題が発生しました。Let's Encryptは、問題が発生したユーザーを支援するためのブログ記事を公開しましたが、この例はルート証明書の期限切れがもたらす大きな影響を示しています。

データセキュリティ

• 10月は、サイバーセキュリティ啓発月間で、サイバー攻撃から身を守るために、政府や組織がベスト・プラクティスを推進するために何ができるかを議論する機会となりました。
• 高級ファッションブランドのニーマン・マーカスは、2020年5月の情報漏えい事件で、460万人の顧客にユーザー名やパスワードなどのデータが流出したことを明らかにしました。
• FBIは、失業手当を探す人を狙ったフィッシング詐欺について警告を発しました。

停止

• Facebook、WhatsApp、Instagramは、10月4日に「社内の技術的な問題」で、約6時間にわたってダウン しました。この問題は、社内システムに影響を与え、従業員がビルや社内ネットワークにアクセスできなくなったため、解決に通常よりも時間がかかりました。Facebookは、ユーザーのデータが侵害されたという証拠はないと謝罪し、ユーザーを安心させる声明を発表しました。

データ漏えい

• ハッカーは、リオネル・メッシのような有名人やスポーツ選手を含む、アルゼンチンの全人口の政府IDデータベースにアクセスしました。このハッカーは、盗んだIDカードの詳細を、興味のある買い手に販売・漏洩することを計画しています。この情報漏洩は4,500万人以上に影響を与えており、漏洩したVPNアカウントを通じて行われたと考えられています。
• 今月初め、ハッカーは多要素認証の脆弱性を悪用して、約6,000人のCoinbaseの顧客から暗号通貨を盗み出しました。
• 米国のテレビネットワークであるSinclair Broadcast Groupは、ランサムウェア攻撃を受け、一部のサーバーや放送局が停止しました。

自動化

• デジサートが実施したPKI自動化に関する最新の調査によると、企業は平均50,000の証明書を管理しており、3分の2の企業が予期せぬ証明書の期限切れによる停止を経験していることがわかりました。調査結果の詳細はこちらをご覧ください。

マルウェア

• マイクロソフトの元セキュリティアナリストが、OneDriveとOffice365が何年も前からマルウェアをホストしていると主張しています。マイクロソフト社の広報担当者は、この記事に対して「クラウドストレージの悪用は業界全体の問題であり、マイクロソフトのサービスを利用して被害をもたらすことを減らすために常に努力しています。このレポートに記載されているタイプの悪用を防止し、迅速に対応するために、さらなる改善を検討しています。」と述べています。
• Appleは、ユーザーがApple App Store以外からソフトウェアをインストールできるようにするEUの規則案を批判し、マルウェアの増加につながる可能性があると主張しました。しかし、Coalition for App Fairnessは、デバイスのセキュリティを提供するのは暗号化やアンチウイルスプログラムなどのセキュリティ対策であり、App Storeではないと主張しています。

デジタル署名

• LibreOfficeおよびOpenOfficeにおいて、デジタル署名の新たななりすましの脆弱性が発見されました。攻撃者は、タイムスタンプや文書の内容を操作したり、信頼できない署名で文書に自己署名したりすることができます。

コードサイニング

• Appleは、iOS 15.0.1のコードへの署名を停止し、ユーザーが古いOSにダウングレードすることを阻止しました。