【ネット】ネット史上最大級のバグを発見〜パスワードもクレカ番号も全部筒抜け−OpenSSLの脆弱性

>>200
金銭的被害なくとも、カード番号が変わる事で
いろいろ手続きし直さなければならず、かなり面倒
再発行中は、カード使えない
保障があるから別に構わないというレスは、馬鹿にしか見えない

>>202
これでカード番号変わったやつなんていないからｗ

公表されてからの対応が問題だな
誰でもが穴知ってるわけだから

>>198
オープンソースを信用したクレカ会社にも責任あるとは思わないか？
ていうか、オープンソースじゃなかったら
もっと長期間、穴空いたままだったかもしれない
有料のクローズドは穴空いてるなんて公表しないかもしれない

>>202
> 再発行中は、カード使えない
一枚しかクレカ持ってないのか
それは不便でしょうね（棒

paypalとか大丈夫なんだろか？

個人輸入とかやったりしてる連中で、あそこの世話になってる人けっこう居るだろ。

>>206
他人の心配するなら
その前に自分が使ってる、例えばプロバとか確認したほうがいいよ

>>6
＞　ここに「Heartbleed」の穴が何年も前（正確には2年前）からバックリ開いていた

自分で2年前からと言いながら何年間もですか？
2年間と言わない理由は？

>>203
毎月不正使用されてないかビクビクしながら暮らすことになるじゃん。
そういうのがスリリング〜とかで好きなのかな

>>205
そんな何枚も持って個人情報を方方にばら撒いて、紐付けさせて、嬉しいの？

実は二段構えで、こっちでパスワードの変更を促し
もう一つの明らかにされていない穴で、変更後のパスワードを
取得するトラップだったりな

>>209
カード再発行手続きの手間を心配して毎日ビクビクしていられるなんて、
よっぽど暇なんですねっ！

>>51
オープンソースだから穴埋めも迅速なんだけどな。
プロプラだといつまでも放置されるバグもあるわけで。
あと基本的にオープンソースは著作権は守られる。

>>211
まあ釣りだと思うけどｗ、
ビクビクして暮らすのは、ハッキングされた後もカード番号変えないお花畑のヒトたちですよｗ

弊社のサイトは全てＦ判定でしたｗｗｗ

マイクロソフト談

だから、とにかく、何しろXPは危ないんですよ(ｷﾘｯ)

まあ、IT技術者をドカタとかで奴隷扱いしてた報いかもな
高額報酬すら出さずに、ドヤ街連中みたいな扱いしてるからよ

>>209
万が一の時にはカードの保険があるんだよ。

>>209
2流カードだと再発行に時間がかかるがAMEXだと翌日には旅行先であっても手元に届けてくれる。

もちろん従来のカード番号もそのまま使える。
オープンソースを全く使わずにショッピングカートシステム構築とか無理。
それくらいよくだきてる。
ちょっと流用する程度でも2千万円くらい開発費がかかる。

オプソ厨によると目玉の数さえあれば云々の理論でこんなバグでるはずないのだが・・・

クレカの心配ばかりされてるけどパス漏れのが深刻なんじゃ

>>206
パス変更しなくても大丈夫みたい
http://www.cnet.com/how-to/which-sites-have-patched-the-heartbleed-bug/

Ｇｏｏｇｌｅとかは、発表前にコソッと対応ｗ

>>198
オープンソースで業務サイトつくったらダメなら

Linuxサーバーもだめ、ApachのWebサーバーもだめ
Postgesqlやmysqlなどのデータベースもダメ

大変だなww

通販サイトも早くセキュリティ対応してほしい

今回の致命的なバグが2年前から、
XPのセキュリティーホールは10年前から未だにせっせと穴埋め。
今更心配するなってｗ

OpenSSLでSSL通信するソフトを利用していた場合は、
そのOpenSSLがheartbeatの脆弱性のあるバージョンだったら、

暗号化された通信の内容が誰にも気づかれない内に漏れてしまうな。

この脆弱性は暗号化の脆弱性じゃないから、いくつか手順を踏まないと
暗号化された通信が見られる状態にはならない。

不正なHeartbeatsパケットを送るとサーバーが適当なメモリ領域を
送り返してくる。

その中に暗号化の秘密鍵が含まれているかもしれないし、いないかもしれない。

何度も何度も繰り返してるうちに当たりを引いたら、その秘密鍵を使用して
暗号の復号ができるっていう脆弱性。

>>222
Googleが脆弱性を見つけたのだから当然だと思われ

>>196
「Heartbleed」脆弱性、アップルのOSやウェブサイトは安全--米CNETが回答入手 - CNET Japan

japan.cnet.com/#story,35046433

今回のは問題ない

>>229
安全安全と言いながら、電話帳読み取りの権限も放置し続けたアップルさんに言われても

>>229
goto fail; なアップルさんに言われても

証明書再発行してインスコした
無料で良かった

>>188
SSL自体は暗号化アルゴリズムじゃないよ
それは128bitのどんなアルゴリズムかが問題になる

どうか、お願いです、なにとぞ、私の切実なる要望を、お聞き下さいませ。
アマゾン様。どうか、私の購入履歴を、一旦抹消仕りますよう、なにとぞ平にご容赦のほど。
よろしくお願い申し上げます。

>>231
Heartbleed.comに行ってみろよ。gotoよりもヤバイから

>>203
穴が見つかって数日じゃ、まだ不正使用されているかどうか
判断できんだろうに。請求が来て初めてわかる話なんだから。

Googleアカウントのパス変更って必要？

ざっと見たところ、必要と不要と分かれててはっきりしない。

GoogleもヤフーもFacebookもTwitterも変えておけとLastPassに言われたから変えた。
あとTumblurからもパス変えろってメール来て、Tumblurだけじゃなくて他のサイトも
変えておきなさいとか余計なお世話くらった

2段階認証してるなら大丈夫だろ
たぶん・・・

まあ、普通に電話回線を通してあるんだから、その経路の途中で送信データはインターセプトされているんだな。
どんなに衣を厚くしても払えば豚肉が出てくるのと同じだ。

>>235
> gotoよりもヤバイから
それはない（マジ顔で

>>241
いいから黙ってHeartbleed.comをGoogle翻訳にかけてみろ

>>242
自動翻訳の文章なんて頭が痛くなるだけだから普通に原文読むだろ
それと正直、Appleのgotoより酷いものがあるとは思えないなw

2chでクレカ漏れたのより少しヤバい

>>242
Heartbleedの穴が開いてるサイトは少数派な上にそんなサイトでも機密情報パスワードが
盗めるとは限らないが、Apple gotoで中間者攻撃すればどんなサイトでも確実に盗むことが可能になる。

せっかくなんでgoogle翻訳にかけてみたが、相変わらず意味不明な「訳」が
出てくるね。頭の中で一度原文に戻した上で解釈するという無駄な作業を
するくらいなら、普通に原文を読んだ方がまだ楽だ。
「ここの原文はきっとこうなんだろうから、こういうことが書いてあるんだろう」
という謎解きをやるのも、ネタとしては悪くないこともあるけどね。

Yahooにログインまだしないほうがええのんかいな。

>>245
OpenSSLが少数派とか冗談きつい

gotoはiOSは即アプデ、OS Xも数日後にアプデかつ中間者攻撃 ゼロデイ攻撃の報告も特にないんだが

Heartbleedは大半のLinuxなどは数日後でアプデしたもののAndroid4.1やHeratbeatを使ってるアプリはどうすんだ？
クライアントは中間者攻撃やフィッシングに気をつければいいがサーバーはユーザー側で対処しようがない。しかも日本のWebサービスは完全沈黙で対応状況も不明

脅威の度合いが違う

>>248
OpenSSLの特定バージョンな
ttp://www.cnet.com/how-to/which-sites-have-patched-the-heartbleed-bug/

10分の1も無い様に見えるな
そしてHeartbleedを悪用した被害報告も特に無いんだが

一方、Apple gotoは半年ほど放置されてたが、携帯会社の中やプロバイダの中で中間者攻撃を
されていなかったとなぜ言えるんだ？

>>249
それを言ったらHeartbleedは2年放置だろうw

影響を受けた主なサービス

Google
Facebook
Yahoo.com
AWS

少数派とはとても言えないな

クレカはネットで使わない
当たり前だよ