最近、受信トレイを少しでも確認したことがあるなら、お気に入りのアプリやサービスが、数百万ものウェブサイトを攻撃している厄介なバグ「Heartbleed」の影響で緊急パスワードリセットを通知するメッセージを目にしたことがあるかもしれません。ここ1週間、世間知らずで何も知らないのでなければ、驚くほど多くのウェブサイトが危険にさらされていることは、もうお分かりでしょう。
最新のセキュリティ問題は、多くのウェブサイトがログインセッションの認証とユーザーデータの暗号化・送信に使用しているOpenSSLソフトウェアに深刻な脆弱性が存在することに起因しています。簡単に言うと、この脆弱性を悪用することで、攻撃者はウェブサイトの暗号化キー、パスワード、ユーザーコンテンツを容易に入手でき、インターネットで最も人気のあるサービスのいくつかで大量の緊急パスワードリセットが発生しました。
でも、あなたのApple IDはどうですか？Appleクラウド上のアカウントのキーは侵害されたのでしょうか？iCloudやApp Storeはどうですか？Appleの広報担当者によると、iOSとOS XプラットフォームはHeartbleedから保護されているとのことです。皆さん、安堵のため息をつくのではないでしょうか？
Appleの広報担当者はRe/codeに次のように語った。
Appleはセキュリティを非常に重視しています。iOSとOS Xには脆弱性のあるソフトウェアは組み込まれておらず、主要なWebベースのサービスは影響を受けませんでした。
これは素晴らしいニュースです。Google、Yahoo!、Facebookが自社サービスがHeartbleedの脆弱性の影響を受ける可能性があることを認めたことを考えると、なおさらです。繰り返しますが、Apple ID、iCloudメール、iCloud経由でデバイス間で同期されたデータ、App Storeの認証情報、その他ご利用のAppleサービスは危険にさらされていません。
これは、Apple が 2012 年 12 月に OS X 上の OpenSSL を廃止したためです。
この AskDifferent スレッドによると、Apple は Mac 開発者に SSL を提供するいくつかの代替 API を提供しており、OpenSSL については次のように述べています。
OpenSSLはバージョン間で安定したAPIを提供していません。そのため、OS XはOpenSSLライブラリを提供していますが、OS XのOpenSSLライブラリは非推奨となっており、iOSの一部としてOpenSSLが提供されたことはありません。OS XのOpenSSLライブラリをアプリで使用することは強く推奨されません。
Heartbleedに起因する影響の規模は、想像を絶するほどです。例えば、MintはHeartbleedの影響を受けていたことを確認し、この脆弱性によってユーザーの銀行パスワードが漏洩する可能性があると警告しました。
セキュリティ専門家のブルース・シュナイアー氏によると、Heartbleed の脆弱性はまさに「壊滅的」だという。
「1から10の尺度で言えば、これは11だ」と彼は今週のブログ投稿に書いた。
Joy of Tech による Heartbleed についての見解。
多数のウェブサイトやオンラインサービスで使用している多数の認証情報がHeartbleedによって侵害されていないことを、どうすれば確認できるでしょうか？まず、強力なパスワードを使用し、複数のウェブサイトで同じパスワードを使い回すことは絶対に避けてください。
私はすべてのパスワードを、iOS および OS X 用の優れたパスワード管理ソフトウェアである 1Password に保存しています。すべてのパスワード、アカウント、メモ、その他の個人データを暗号化された金庫内に安全に保管することに加えて、eBay、PayPal、Google などのサイトにログインする必要があるときはいつでも使用するアプリ内ブラウザーもあります。
Apple 独自の Safari パスワード ジェネレーターも役立ちます。特に、Web パスワードを iCloud に保存せずに Mac と iOS デバイス間で安全に同期する iCloud キーチェーン機能と組み合わせて使用すると便利です。
企業が侵害されたOpenSSLセキュリティソフトウェアを更新しない限り、パスワードを変更しても効果はありません。そのため、セキュリティソフトウェアの更新を確認し、ユーザーにパスワードの変更を促しているサービスのみでパスワードを変更することをお勧めします。
Heartbleedの仕組みの概要については、Yahoo Techの情報記事をご覧ください。また、The VergeでHeartbleedの詳細と、それが約1週間にわたって世界最大の秘密であった理由についてもご紹介していますので、ぜひご覧ください。
Heartbleedを発見したエンジニアの一人へのBusiness Insiderのインタビューもぜひご覧ください。ついでに、Mashableが公開している、今すぐ変更すべきHeartbleedの脆弱性のあるパスワードのリストもぜひご覧ください。
最後に、この Heartbleed Web ツールを使用して、お気に入りの Web サイトまたはオンライン サービスが脆弱性によって侵害されているかどうかをテストします。
