ネット暗号化ソフトに欠陥、通信機器の危険も判明 米企業・政府、対策急ぐ 実害でる？

「インターネットの通信販売や銀行のサイトなどで広く使われている暗号化ソフト「オープンＳＳＬ」に深刻な欠陥が見つかった問題の影響が広がっている。同ソフトを利用するウェブサイトに加え、一部の通信機器にも脆弱性が見つかった。ハッカーがこの欠陥を利用して攻撃を仕掛けると、個人情報が流出する恐れがある。米国ではグーグルやフェイスブックなどの企業や政府機関が対応を急いでいる。」（2014/4/13付日本経済新聞　朝刊）

暗号化ソフト欠陥で被害　894人の情報漏洩か 三菱ＵＦＪニコスクレジットカード番号は一部非表示になっているため金銭的な被害は確認されていない。個人情報が閲覧された可能性のある会員には、メールや電話でＩＤやパスワードを変更するよう連絡したという。同社は「発生を阻止できなかったことを深く反省し、再発防止の徹底を図る」としている。（2014/4/19付日本経済新聞　朝刊）

まずはOpenSSLってなに？ということだが、これは外部のソフトウェアから呼び出して利用するライブラリプログラムの一種で、自分の開発したソフトウェアにSSL/TLS（Secure Sockets Layer/Transport Layer Security）による暗号通信機能を組み込むことができるもの。オープンソースなので、Webサイトで認証情報や個人情報、決済情報などの送受信を安全に行う手段として広く普及している。、誰でも自由に入手・利用しプログラムと共に再配布したりすることができる。

多くのプログラミング言語やOSに対応しているため、暗号通信機能を組み込む手段として様々な分野で幅広く利用されている。この事が今回の騒動のもとになっている。

利用しているWedサイトの対応の問題なので、自分で対処することはできないが、少なくとも当面は頻繁にパスワードを変更することが得策だろう。攻撃自体は必至であるものの、取得されたIDに対するパスワードが変わっていれば、簡単に入り込めない筈である。

1. アップル、マイクロソフトは、「影響なし」としている
2. グーグル、アマゾンは「殆どのサービスで対策済」としている
3. ヤフーはブログサービスに対応した。またパスワード変更を要請
4. フェイスブック、ツイッターは対策済として、パスワード変更を要請

（2014/4/13付日本経済新聞　朝刊）

関係者によると、同ソフトの欠陥は２年前から指摘されてきたが、同ソフトを提供するウェブサイト（オープンSSL運営団体）が７日に欠陥を公表し、修正した最新版を公開している。それにしても、２年も前から指摘されていながら、やっとパッチが出てきたのは遅すぎる。これがオープンソースであるとも言える。タダより高い物はない、と言う結局高い物に付く可能性がある。アンドロイドはオープンでも一私企業が提供しているものなので、今回のような遅い対応には成らないだろう。何故ならグーグル自身の信用問題になるからだ。

しかしオープン故に各社各様で付加した機能があり、品質が定まらない、と言う評価もある。iOSが未だに信頼に足ると言われる所以でもある。オープン利用時の警告が今回の出来事で明らかになったであろう。