Microsoft PowerPoint - Heartbleed-JP_Slide_v1.pptx

Transcription

1 OpenSSL Heartbleedの 影 響 と 対 策 F5ネットワークスジャパン 株 式 会 社 2014 年 4 月

2 本 資 料 の 目 的 1. Heartbleed を 理 解 する どんな 脆 弱 性 なのか ユーザにはどんな 影 響 があるのか 一 般 的 な 対 処 方 法 は (サーバ 管 理 者 ユーザの 立 場 ) 2. F5 製 品 への 影 響 や 対 応 を 理 解 する 影 響 があるプラットフォーム/ 機 能 は 何 か どのような 影 響 があるか 対 応 状 況 は 3. F5 製 品 によるソリューションを 理 解 する どんな 解 決 策 があるか F5 Networks, Inc 2

3 1.Heartbleedを 理 解 する

4 OpenSSL Heartbleedの 脆 弱 性 とは? CVE , VU#720951, JVNVU# 参 考 情 報 : SSL( 暗 複 合 化 )ライブラリ オープンソース 実 装 OpenSSL のバグ OpenSSL f, OpenSSL beta ~ beta1が 該 当 (1.0.1は2012 年 3 月 リリース) RFC6520で 新 たに 定 義 されたTLS/DTLS 用 ハートビート 機 能 の 実 装 に 欠 陥 サーバのHeap(メモリ) 領 域 を 攻 撃 者 が 取 得 可 能 (ペイロード 長 チェック 漏 れによる) F5 Networks, Inc 4

5 想 定 される 被 害 や 影 響 はなんですか? 直 接 的 な 被 害 - サーバ 証 明 書 ( 公 開 鍵 )の 秘 密 鍵 漏 えいによる SSL 通 信 の 傍 受 ユーザ 名 パスワード クレジットカード 番 号 など 機 密 性 の 高 い 情 報 の 流 出 の 可 能 性 - 過 去 やりとりしたサーバメモリ 上 のデータ( 平 文 )の 漏 えい - その 他 サーバメモリ 上 に 展 開 されたデータの 漏 えい 二 次 被 害 - SSL 化 したフィッシングサイトの 乱 立 - アカウント 乗 っ 取 り - 不 正 アクセス 不 正 送 金 など F5 Networks, Inc 5

6 どんなサイトが 影 響 を 受 けています(した)か? OpenSSLを 使 う 代 表 的 なサーバソフトウェア Apache, nginx 参 考 : 著 名 なサイトの 対 応 状 況 : F5 Networks, Inc 6

7 求 められる 対 策 はなんですか? サーバ 管 理 者 運 営 者 - OpenSSLの 対 策 パッチの 適 用 - サーバ 証 明 書 / 秘 密 鍵 の 更 新 - ユーザ 対 応 ( 脆 弱 性 の 有 無 パスワード 変 更 の 呼 びかけ 等 ) ユーザ - 利 用 するサイトに 脆 弱 性 があるかどうか 調 べる (ツールも 用 意 されている) 参 考 : Symantec 社 : - パスワードの 変 更 ( 継 続 的 に サーバ 証 明 書 がリニューアルされたことを 確 認 する) - クレジットカード/オンラインバンク/マイルポイントなどの 履 歴 を 継 続 的 に 確 認 F5 Networks, Inc 7

8 2. F5 製 品 への 影 響 や 対 応 を 理 解 する

9 F5の 製 品 は 脆 弱 性 の 影 響 を 受 けますか? BIG-IP 製 品 群 に 関 しては 一 部 を 除 き 影 響 を 受 けません (ハードウェア VEプラットフォーム 共 通 ) -TMOS v 以 外 のOSをご 利 用 のお 客 様 は 本 脆 弱 性 の 影 響 はありません -TMOS v でNATIVEモードのSSL Cipherをご 利 用 のお 客 様 は 本 脆 弱 性 の 影 響 を 受 けません - 影 響 を 受 けるケース: 1.TMOS v あるいはv 且 つ COMPATモードのSSL Cipherをご 利 用 のお 客 様 2.TMOS v11.5.0あるいはv11.5.1の 設 定 用 Web 管 理 画 面 へのアクセス(Managementポート およびSelfIP) Edge Clientに 関 しては 一 部 影 響 を 受 けるOpenSSLバージョンを 使 用 しております - Edge Client for Androidは 影 響 を 受 けません - 影 響 を 受 けるケース: Edge Client for Windows, Mac OS, Linux, iosの 特 定 のバージョンかつ: - 上 記 脆 弱 性 のあるBIG-IP 製 品 (APM)への 接 続 - 悪 意 のあるAPM シミュレートされたAPMへの 接 続 サポートサイト AskF5にて 継 続 的 に 情 報 提 供 していますので ご 確 認 ください F5 Networks, Inc 9

10 なぜTMOS v 以 前 のバージョンは 影 響 を 受 けないと 言 えますか? TMOS v 以 前 のBIG-IPは OpenSSL1.0.1より 古 いOpenSSLを 採 用 しているからです 参 考 となるサイト 各 TMOSバージョンと 利 用 されているOpenSSLバージョンの 対 応 表 F5 Networks, Inc 10

11 脆 弱 性 のあるTMOSでは どのような 対 処 が 必 要 ですか? BIG-IP 製 品 群 - SSLのCipherをNATIVEを 利 用 するようにする (DEFAULT 設 定 では NATIVEが 使 用 されます) -Web 管 理 アクセス 用 の Management IP や SelfIPアクセスを インターネットに 公 開 しない F5 Networks, Inc 11

12 BIG-IPのSSL 設 定 :NATIVE COMPATとはなんですか? SSLプロファイルに 設 定 するCipherによって 選 択 される2 種 類 のSSL 処 理 モードです 1.NATIVE -F5 独 自 のトラフィック 管 理 OS(TMOS) 上 に 実 装 されたSSL 処 理 モードです - アプライアンス 製 品 ( SSLアクセラレータカード 搭 載 モデル)の 場 合 アクセラレータカードを 利 用 しSSLパフォーマンス 向 上 を 図 ります 2.COMPAT - OpenSSLライブラリを 使 用 するSSL 処 理 モードです - 特 殊 要 件 やワイドなCipherへの 対 応 ができる 場 合 があります - アプライアンス 製 品 であってもSSL 処 理 がソフトウェア 処 理 になります F5 Networks, Inc 12

13 参 考 :BIG-IPのSSL 処 理 イメージ OPENSSL LIB SSL HW CARD HTTPD TMM 3 管 理 通 信 (MGMT,SelfIP) 2データ 通 信 (COMPATモード) 1データ 通 信 (NATIVEモード) VEの 場 合 は TMMで 処 理 F5 Networks, Inc 13

14 本 脆 弱 性 への 対 応 状 況 を 教 えてください 該 当 するBIG-IP OS および Edge Clientの 対 応 パッチを 準 備 しています HF2 - リリース 済 み HF1 - リリース 済 み を 継 続 的 に 確 認 して パッチを 適 用 ください F5 Networks, Inc 14

15 F5のセキュリティ 脆 弱 性 への 対 応 方 針 を 教 えてください 脆 弱 性 への 対 応 ポリシー 概 要 脆 弱 性 データベースをモニタし タイムリーに 対 応 できるよう 心 掛 けています CERT Coordination Center (CERT/CC) CVE (Common Vulnerabilities and Exposures) Bugtraq database Redhat Security Mailing List CentOS Security F5 Networks, Inc 15

16 セキュリティ 問 題 に 関 する 通 知 を 受 けることはできますか? により 通 知 を 受 けることが 可 能 です 例. 脆 弱 性 通 知 のサンプル 下 記 サイトにしたがって 登 録 をお 願 いします F5 Networks, Inc 16

17 F5 製 品 によるソリューションを 理 解 する

18 BIG-IPを 使 うことでHeartBleedの 脆 弱 性 を 防 ぐことができますか? はい BIG-IPでSSL 終 端 処 理 をDEFAULT 設 定 でしているお 客 様 は 既 にF5によって 解 決 済 みです F5 Networks, Inc 18

19 BIG-IPではSSL 秘 密 鍵 は 安 全 に 保 管 できますか? はい BIG-IPでは FIPS Level2 対 応 HSM 搭 載 アプライアンスをご 選 択 いただけます FIPSは 米 国 連 邦 標 準 規 格 です Thales nshield network HSMとも 連 携 可 能 です F5 Networks, Inc 19

20 BIG-IPユーザです SSL 処 理 はサーバ 側 で 実 施 していますが 何 か 対 策 はありますか? irulesを 活 用 することで SSL 終 端 をしなくても 以 下 の 対 応 を 行 えます - クライアントからのTLS heart beat リクエストをブロック - サーバからのheart beat レスポンスをブロック irulesの 正 式 なサポートや 開 発 についてては F5コンサルティングサービスにて 対 応 させていただきます 詳 細 については 下 記 までメールにてお 問 い 合 わせください [email protected] F5 Networks, Inc 20

21 ブリッジ 構 成 のWAFで 本 脆 弱 性 を 防 げますか? 一 般 的 なWAFベンダが 推 奨 するBridge 構 成 では 本 脆 弱 性 は 防 ぐ 事 はできません F5は 開 発 当 初 からWAFはセキュリティ 製 品 として リバースプロキシ 型 での 設 置 を 推 奨 し 多 数 のお 客 様 に 導 入 実 績 がございます 参 考 :F5のセキュリティソリューション - インバウンド ファイアウォール - BIG-IP Advanced Firewall Manager - BIG-IP Application Security Manager F5 Networks, Inc 21

22 まとめ 自 社 で 運 用 しているサイトについて 脆 弱 性 の 影 響 をご 確 認 ください 稼 働 中 のBIG-IPについて 本 脆 弱 性 の 影 響 のご 確 認 をお 願 いします BIG-IPにより 本 脆 弱 性 の 対 策 および 外 部 からの 攻 撃 に 対 する 防 御 をすることができます

23