NRI OSSソリューションマガジン(メールマガジン)


                       2015.07.28発行   Vol.97
───────────────────────────────────
◆◇ NRI OSSソリューションマガジン
───────────────────────────────────

《統合認証基盤としてのマイナンバー制度への対応》

いよいよ2015年10月から開始されるマイナンバー制度に向けて企業の対
応が活発になってきました。

◆マイナンバー制度とは
日本国民(日本に住んでいる外国人も含む)の中で住民票をもつ人々に対して
、固有の識別番号(マイナンバー)が割り振られ、社会保障や納税、災害対策
などの様々な分野の個人情報が一元管理される仕組みのことです。
※参考:http://www.soumu.go.jp/main_content/000314021.pdf

この識別番号(マイナンバー)に対する厳重な管理が求められている事から、
「識別番号が保存されたシステム」や給与明細などの閲覧、交通費などの経費
処理、勤怠情報の登録など識別暗号(マイナンバー)と連携する「人事・給与
・会計などの業務システム」、その他関連システムへのアクセス制御(認証基盤)
、アクセス証跡(ログ)、アイデンティティ管理(ID管理基盤)が今後重要に
なってくると言われています。


NRI OpenStandiaの統合認証基盤は、OSS認証基盤OpenAM,OpenIDMの
開発元であるForgeRock社との提携によって脆弱性チェックやパッチ提供、
品質保証されたソースコードをもつOpenAM・OpenIDMを提供し、
株式会社野村総合研究所(NRI)の認証に対する技術知識とノウハウにより
お客様のマイナンバー制度への対応を支援します。

◆支援メニューと関連ソフトウェア
(支援メニュー)
統合認証基盤とは?
http://openstandia.jp/solution/id_management/about_single_sign-on/?mm=97_01

統合認証ソリューション
http://openstandia.jp/solution/id_management/overview/?mm=97_02

統合認証基盤導入の関連サービス
http://openstandia.jp/solution/id_management/overview/service.html?mm=97_03

(関連ソフトウェア)
OpenAM
http://openstandia.jp/oss_info/openam/index.html?mm=97_04

OpenIDM
http://openstandia.jp/oss_info/openidm/index.html?mm=97_05

今月号のメルマガもどうぞよろしくお願いします。

=============
■目次
=============
1.What's New
OSS紹介ページアップデート
・Jetty

2.今月注目の「バグ&セキュリティ情報」
1) OpenSSL の代替証明書チェーンの処理に証明書の検証を迂回される問題


■□━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1.What's New
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━□■
───────────────────────────────────
◆ OSS紹介ページアップデート
───────────────────────────────────
 NRI OpenStandiaでは注目されるオープンソースソフトウェアの概要から
 ライセンス、導入事例など様々な情報をOSS紹介というコーナーで紹介して
 います。
 
 新掲載:Jetty
http://openstandia.jp/oss_info/jetty/index.html?mm=97_06

NRI OpenStandiaのOSS紹介サイト
http://openstandia.jp/oss_info/?mm=97_07

■□━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
2.今月注目の「バグ&セキュリティ情報」
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━□■
【概要】
期間: 06/22(月) - 07/17(金)
対象: OpenSSL の代替証明書チェーンの処理に証明書の検証を迂回される問題

【内容】
2015年7月注目のセキュリティ関連情報は、OpenSSLの代替証明書チェーン処理
に関する脆弱性だ。
証明書チェーンとは、特定の認証局(CA)に対して、ルートCAにまで繋がる上位
のCAの証明書を全て加えるもの。
そして代替証明書チェーンとは、最初の証明書チェーンの構築に失敗した場合に、
(文字通り)代わりの証明書チェーンを構築しようと試みる仕組みである。

この代替証明書チェーン処理に実装上の不備があるというのが、今回の脆弱性
の概要だ。
具体的には、本来不正と検知されるべき証明書を不正なものであると検知できず
、CAから発行された証明書として扱ってしまう可能性がある。

本脆弱性により、SSLの際に利用する証明書を攻撃者が不正な証明書へと偽装
することで、証明書の検証を迂回されるという恐れがある。
結果として、本来第三者には秘匿化されていなければならないはずの通信情報が
、攻撃者に漏れてしまうことになる。
脆弱性が該当するOpenSSLのバージョンは下記の通り。

1.0.1n
1.0.1o
1.0.2b
1.0.2c

既に本脆弱性を修正したバージョン「1.0.1p」および「1.0.2d」が提供されて
いるため、対策としてOpenSSLのアップデートすること。
尚、バージョン「0.9.8」や「1.0.0」といった古いバージョンのものは、
今回の脆弱性の影響は受けないとされている。
しかし、これら古いバージョンのものは 2015/12/31 にEOLを迎え、サポート
が終了となる予定だ。
脆弱性に該当しないからと楽観視せず、最新版へとアップデートすることが望ま
しい。

※「バグ&セキュリティ情報」はメールマガジンでは概要のみ掲載します。
 詳細およびサポートサービスのご相談は、以下からお問い合わせください。
 https://openstandia.jp/site/contact.html?mm=97_10

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
編┃集┃後┃記┃
━┛━┛━┛━┛━━━━━━━━━━━━━━━━━━━━━━━━━━━
最後までご覧いただき、どうもありがとうございました。
「NRI OSSソリューションマガジン」をどうぞよろしくお願いいたします。

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
NRI OpenStandiaのWebページからセミナー申込やお問い合わせ頂いたお客様、
NRIから委託されたOpenStandia営業と名刺交換をさせて頂いたお客様、
NRIが主催、共催、協賛するセミナー、イベントにご参加して頂いたお客様に
送付しております。

※注意事項・配信停止方法は以下のURLをご確認ください。
 http://openstandia.jp/site/mailmagazine.html

商品・サービスに関するお問い合わせ:ossc@nri.co.jp
OSSソリューションマガジンに関するお問い合わせ:magazine-ossc-ext@nri.co.jp
発信元:株式会社野村総合研究所 オープンソースソリューション推進室
http://openstandia.jp/
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
  • OpenStandiaサポート対象オープンソース|50種類以上のOSSのサポートをご提供します。
  • 人気OpenAM
  • 注目MongoDB
  • OpenIDM
  • Corosync
  • Postfix
  • Apache HTTP Server
  • ZABBIX
  • BIND
  • Apache Struts
  • PostgreSQL
  • Pentaho
  • Spring Framework
  • Apache Tomcat
  • Solr
  • Dovecot
  • iBATIS
  • DRBD
  • MySQL
  • JBoss
  • Liferay
  • Ruby on Rails
  • Jaspersoft
  • OpenLDAP
  • Apache log4j
  • Apache Subversion
  • BIND
  • OpenDJ
  • Pacemaker
  • Samba
  • Red Hat Enterprise Linux
  • Nginx
  • sendmail
  • Courier-IMAP
  • Heartbeat
  • Hibernate
  • Hinemos
  • MyBatis
  • MySQL Cluster
  • Apache Axis2
  • Squid
  • OpenSSO