サイバーセキュリティの先駆者：「Defense.Netのセキュアネットワーク技術はHeartbleedバグの影響を受けない」

公開日：2014年4月9日

お問い合わせ先

Nathan Misnerグローバルコミュニケーション担当シニアディレクターF5(206) 272-7494n.misner@F5.com

カリフォルニア州ベルモント—2014年4月9日—規模と巧妙さを増す現代の分散型サービス拒否（DDoS）攻撃の緩和を目的として設計された唯一の企業であるDefense.Netは本日、昨夜発表された「Heartbleed」脆弱性について、同社創業者Barrett Lyonの声明を公開しました。この脆弱性により50万を超えるWebサイトが危険にさらされており、セキュアコンピューティング史上、最も壊滅的なバグの1つとなる可能性があります。

ロシアン・マフィアの一員として活動するハッカーを追跡したことで知られ、その経緯がベストセラー書籍『Fatal System Error』に記されたLyonは、10年以上前に、現在では10億ドル規模となったDDoS攻撃緩和業界を創出した人物でもあります。同氏は次のように述べています。

「OpenSSLの実装にパッチが適用されていない限り、誰でもリモートから64K単位のメモリを閲覧できます。言い換えれば、脆弱なサーバーのメモリに残されたあらゆる情報が……公開データになってしまうのです……。これには、パスワード、アカウント、個人データ、さらにはサーバー自体のSSL秘密鍵が含まれる可能性があります。この問題がどれほど深刻かというと、このソフトウェアはWebサイト、VPN、専用ネットワーク機器、電子メール通信、スマートフォンアプリなど、ありとあらゆるものに使用されています」
「これがバグなのか、意図的に追加されたものなのかは、現時点ではすべて憶測にすぎません。また、この問題は2年以上にわたってソフトウェアに存在し、OpenSSLを使用するすべての人を危険にさらしてきました。」
「さらに事態を悪化させるのは、このバグへのパッチ適用が世界中で完了した後、影響を受けたサーバーで使用されていたすべてのSSL証明書を再発行しなければならない可能性が非常に高く、運用面でもセキュリティ面でも深刻な混乱を招くことです。50万件のSSL証明書を交換する費用は数億ドルに上る可能性があり、それがいつ実施可能になるのか、あるいは実際に実施されるのかは不明です。」
「しかし、すでに数百万のWebサイトをHeartbleedから保護している、即時に導入可能なソリューションがあります。Defense.NetのDDoS緩和策には、ネットワークの改善と保護強化という副次的なメリットもあります。無効なボットを排除し、攻撃トラフィックを除去する過程で、Defense.NetのDDoS緩和策は、正規のネットワークプロトコルと不正なプロトコルを識別して検証します。これは、ネットワークの一方のレイヤーに独自のSSL/TLS実装を構築し、もう一方のレイヤーでHeartbleedバグを悪用しようとするトラフィックの挙動を監視してブロックすることで実現します。」

詳細については、Lyon氏のブログをご覧ください。この脆弱性に関する新たな情報が判明次第、更新されます。

追記: F5 NetworksがDefense.Netを買収（2014年5月）

F5について

F5（NASDAQ：FFIV）は、世界最大規模の企業、サービスプロバイダー、政府機関、消費者向けブランドのアプリを、より高速、スマート、かつセキュアにします。F5は、スピードと制御性を損なうことなく、組織が選択したアプリケーションインフラストラクチャを導入できるクラウドおよびセキュリティソリューションを提供します。詳しくは、f5.comをご覧ください。また、Twitterで@f5networksをフォローするか、LinkedInおよびFacebookにアクセスすると、F5、パートナー、テクノロジーに関する詳細情報をご確認いただけます。

F5は、米国およびその他の国におけるF5 Networks, Inc.の商標またはサービスマークです。本文に記載されているその他すべての製品名および会社名は、それぞれの所有者の商標である場合があります。

###

本プレスリリースには、将来の事象または将来の財務実績に関する、リスクおよび不確実性を伴う将来予想に関する記述が含まれている場合があります。このような記述は、「may（可能性がある）」、「will（予定である）」、「should（見込まれる）」、「expects（予想する）」、「plans（計画する）」、「anticipates（見込む）」、「believes（考える）」、「estimates（推定する）」、「predicts（予測する）」、「potential（可能性）」もしくは「continue（継続する）」などの用語、これらの否定形、またはこれらに類する用語によって識別できます。これらの記述は予測にすぎず、実際の結果は、当社がSECに提出した書類に記載された要因を含むさまざまな要因により、当該記述で予想された結果と大きく異なる可能性があります。