セキュリティ警報：多数のシステムに影響を及ぼすDebian OpenSSLの不具合が発覚
高名なセキュリティ研究者であり、MetaSploit Projectの創設者でもあるH. D. Moore氏は、DebianパッケージのOpenSSLに隠されていたバグという同氏の発見した最新の研究結果を報告した。Moore氏は今回のバグの発生源を説明すると共に、OpenSSLの生成する鍵に付けられた値がこの不備を悪用することで簡単に予測できてしまう点に注意を喚起している。
Moore氏によると、「Debianベースのシステム（UbuntuやKubuntuなど）にて2006年9月から2008年5月13日までの間に生成されたすべてのSSLおよびSSH鍵は危険かもしれません」とのことだ。また同氏は問題となる鍵を再生成するためのツールへのリンクと関連情報も提供している。
Moore氏が強調しているのは、これはDebian/Ubuntuユーザコミュニティだけに限定されない重大な不具合であるという点だ。
SSL鍵の場合、作成済みの証明書をすべて作り直した上で認証局による署名を再取得する必要があります。認証局の鍵もDebianベースのシステムで作成されたものは無効化して再生成しなければなりません。またユーザによるサーバアクセスをSSHと公開鍵にて認証していたシステム管理者は、すべての鍵を検証して、問題のシステムにて作成されたものが使われていないかを確認しなければならないでしょう。OpenSSLのPRNGを用いてデータ転送時のセキュリティを確立するタイプのツールは、いずれもオフライン攻撃で突破される危険性を秘めています。問題のシステムで生成されたホスト鍵を利用するSSHサーバの場合は、トラフィックを復号されてしまう可能性があり、ユーザが気づかないままマン・イン・ザ・ミドル攻撃（中間者攻撃ないし介入者攻撃）に曝されているかもしれません。この不具合がやっかいなのは、Debianのソフトウェアを直接使用していないシステムであっても、Debianシステムで生成された鍵を利用している限り、この問題に関する診断を受ける必要があるという点です。DebianおよびUbuntuプロジェクトからは、こうした脆弱性を有す鍵を特定するためのツール群がリリースされています。これらの取得先は下記の参照欄にまとめてあるとおりです。
Debianおよびその派生ディストリビューションのユーザの場合はapt-get upgradeコマンドによって各自のシステムで使われている脆弱性を有す鍵を置き換えることができ、Ubuntuユーザの場合も昨日リリースされたセキュリティパッチによって脆弱な鍵を自動的に置き換えることができるが、Moore氏の指摘にもあるように、これらの対策だけでは認証の署名用の鍵や他のサーバにコピーされた鍵に関する問題は解決できないのである。
つまりDebianおよびUbuntuユーザの場合は、OpenSSH/OpenSSLパッチを適用して脆弱性を有す鍵を直ちに置き換える必要がある。そしてその他のプラットフォームで構成されたシステムの管理者の場合は、過去に脆弱な鍵を生成してきたサイトから取得した鍵が使われていないかをチェックして、該当するものは置き換える必要があるということになる。
