Microsoftダウンロードセンター、3日からSHA-1署名のWindows向けコンテンツ提供を中止 42
ストーリー by headless
署名 部門より
署名 部門より
Microsoftダウンロードセンターは8月3日から、SHA-1で署名されたWindows向けコンテンツの提供を中止するそうだ(Microsoft Tech Communityの記事、 Softpediaの記事、 The Registerの記事)。
SHA-1の危険性は古くから指摘されており、2017年には現実的な時間でSHA-1ハッシュの衝突を生成するShatterd攻撃も発表されている。CA/Browser Forumは2016年からSHA-1のHTTPS証明書の発行を禁じていたが、Internet Explorer 11とMicrosoft Edgeでは2017年5月のアップデートでSHA-1証明書をブロックするようになった。
Windowsの更新プログラムでは昨年、Windows 7/Server 2008/2008 R2およびWSUS向けにSHA-2署名のサポートが導入され、昨年7月以降は更新プログラムのインストールにSHA-2署名のサポートが必須になった。また、それまでデュアル署名(SHA-1/SHA-2)だったWindowsの更新プログラムはSHA-2のみに変更されている(Windows および WSUS の 2019 SHA-2 コード署名サポートの要件)。
なお、Microsoftダウンロードセンターで「人気のあるWindowsダウンロード」をみると、1位の「DirectX エンド ユーザー ランタイム Web インストーラ」はSHA-1のみで署名されており、2位以下はデュアル署名の更新プログラムが多いようだ。
SHA-1の危険性は古くから指摘されており、2017年には現実的な時間でSHA-1ハッシュの衝突を生成するShatterd攻撃も発表されている。CA/Browser Forumは2016年からSHA-1のHTTPS証明書の発行を禁じていたが、Internet Explorer 11とMicrosoft Edgeでは2017年5月のアップデートでSHA-1証明書をブロックするようになった。
Windowsの更新プログラムでは昨年、Windows 7/Server 2008/2008 R2およびWSUS向けにSHA-2署名のサポートが導入され、昨年7月以降は更新プログラムのインストールにSHA-2署名のサポートが必須になった。また、それまでデュアル署名(SHA-1/SHA-2)だったWindowsの更新プログラムはSHA-2のみに変更されている(Windows および WSUS の 2019 SHA-2 コード署名サポートの要件)。
なお、Microsoftダウンロードセンターで「人気のあるWindowsダウンロード」をみると、1位の「DirectX エンド ユーザー ランタイム Web インストーラ」はSHA-1のみで署名されており、2位以下はデュアル署名の更新プログラムが多いようだ。
切り替えに時間かかりすぎ (スコア:0, 興味深い)
SHA1が現実時間内に攻撃成立するという欠陥が見つかってもSHA1証明書の発行が2015年まで行われてた [cybertrust.co.jp]。
電子証明書は長いもので有効期限が5年ほどだから、発行されてから5年の今年2020年がこういう切り替えタイミングになったと思われる。
SHA1証明書を持っている人は発行ベンダーに申請したらSHA2などほかのものに切り替えできたけど、Windows 7やVistaなど古いものはSHA1署名が必要でSHA1を使わざる得なかった(Windows7はSHA2をサポートしたけど、それはつい最近のこと)。
そういう理由のせいでこんなに切り替えに時間がかかってた。
「セキュリティ」を考えるならもっと早くSHA2のサポートをさせたり、長すぎる有効期限をもう少し短くすべきじゃないのかな。
#でも特に個人だと有効期限せまったときの電子署名更新が面倒だからもっと有効期限長くしてほしいw
Re:切り替えに時間かかりすぎ (スコア:3, 参考になる)
まず、「サーバ証明書」と「コード署名証明書」と「コード署名アルゴリズム」はそれぞれ別物です。
2015年まで発行されていたのはSHA-1の「サーバ証明書」の話です。
SHA-1の「コード署名証明書」はCAにもよりますがSHA-2の署名検証ができないWindows Vistaを考慮 [digicert.com]して2018年末まで発行されていた [digicert.com]りします。
いずれにしても、ストーリーは「コード署名アルゴリズム」の話なので、証明書の有効期限云々は的外れです。
ストーリーの文章もそうですが、これはよくある誤解で、実際にはWindows 7は2014年からSHA-2コード署名をサポートしています。
「えっ! Windows 7ってまだSHA-2に対応していなかったの?」「そんなばかな!」:その知識、ホントに正しい? Windowsにまつわる都市伝説(132) - @IT [atmarkit.co.jp]
では、なぜこのタイミングでSHA-1で署名されたWindows向けコンテンツの提供を中止するかというと、単純に更新プログラムを適用してない状態ではSHA-2コード署名の検証ができないWindows 7のサポート切れを待ったからでしょう。
Re: (スコア:0)
なるほど。Win7との兼ね合いが有ったんですね。
Re: (スコア:0)
米国時間で8月3日になっても普通にDirectXエンドユーザーランタイム落とせるんだけど、やっぱり単に旧OS用のSHA-1 SSL証明書を使っていたサーバーをシャットダウンしましたって話じゃないの?
Re: (スコア:0)
Macやスマホみたいにすぐ過去を切り捨てればあっという間に切り替えられるよ
Re: (スコア:0)
SHA1証明書を持っている人は発行ベンダーに申請したらSHA2などほかのものに切り替えできたけど、Windows 7やVistaなど古いものはSHA1署名が必要でSHA1を使わざる得なかった(Windows7はSHA2をサポートしたけど、それはつい最近のこと)。
なお、Microsoftダウンロードセンターで「人気のあるWindowsダウンロード」をみると、1位の「DirectX エンド ユーザー ランタイム Web インストーラ」はSHA-1のみで署名されており、
この辺りも反論よろしく
Re: (スコア:0)
Objective-Cをさっさと切り捨てて頂けませんかね…
Re: (スコア:0)
よし、これからはMD5だ!
Re: (スコア:0)
数か月前のことなのでうろ覚えだけど、
動作検証のためほぼまっさらのWindows7環境にAccessDatabaseEngine(だったと思う)をインストールしようとしたら「無効な証明書がうんぬん」と警告が。
いろいろ検索してみると「証明書の期限が切れたので新しい証明書で署名されたもの(中身は同じなのでバージョン番号も変わらず)になっていて、新しい証明書はWin7では検証できない」という情報が。
Win7はサポート終了してるからしかたないとは思うけど、AccessDatabaseEngine自体はWin7も対象システムとして明記してるんだからダウンロードページの注意書きにそのことを書いてくれよと思った。
Re: (スコア:0)
KB3035131を適用した上でインターネット接続環境でインストールすればWin7でも検証できるかと
さすがに6年近く前の更新プログラムを適用してない環境は想定外だったんでしょう
Re: (スコア:0)
SPやパッチ当てないやつがドヤって害を撒き散らすのは昔も今も変わらんですな。
win10のポリシーにまで影響与えてるし。
Re: (スコア:0)
私用じゃないんだぞ仕様だぞ、煽ってくんなや
Re: (スコア:0)
Windows Server 2008 / 2008 R2 の存在が大きかったんじゃないかと思ってる。
こいつらが 2020 年 1 月になってサポート切れるのを待っていたんじゃないかな。
アプリケーション署名が SHA-2 のみのサーバ向けパッケージがあるんだが、Windows Update も当ててないオンプレ 2008 にインストールできない問い合わせがいまだにぽつぽつと来る。
MMD終了のお知らせ? (スコア:0)
MMDもPMXEもDirectXエンドユーザーランタイムのインストールが必須のはずだが
Re: (スコア:0)
Yeeeeeeeeeees!!!
MMDとかいうWinユーザー専用文化はとっとと廃れればいい。
VTuberやってる奴も、どこからそんな知識を仕入れてきたのか知らないが、MMD用モデルなんて配布する奴もいたりするの
バカじゃないのかと思ってる。
Mac Linuxの方が優秀なクリエイターは圧倒的に多いし、その気になればわずか数日でMac用のMMD上位互換が作られて
エコシステムもコミュニティも全部かっさらえる、という事をWinユーザーは理解した方がいい。
Re: (スコア:0)
優秀な奴は結構いるが、ヒマとは限らないぞw
Re: (スコア:0)
では来週出してください
12年も何やってたんですかね?
Re: (スコア:0)
エフェクトの互換性が死ぬとかでDirectX11への移行に失敗したりしてた
Re:MMD終了のお知らせ? (スコア:1)
https://srad.jp/comment/3862970 [srad.jp]
わずか数日でMac用のMMD上位互換が作れるらしいから週明け待ちましょうよ。
Re: (スコア:0)
出て来ませんな。
Re: (スコア:0)
いいですよ。使って下さい。イオナズンとやらを。それで満足したら帰って下さい。
Re: (スコア:0)
PSO2 [pso2.jp]もですかね(苦笑)
PC版の動作環境が「DirectX 9.0c以上」になっているせいか、DirectXの導入を推奨されている様なのですが・・
# 最近のOSだと、Windowsに標準的に入っているDX9c互換APIできちんと動くのかな?
なお、FF14には一応DX9で動くモードもあるが、2019年1月に動作非推奨になった模様。
Re: (スコア:0)
少なくともMMDは、Windows 10でも標準ではd3dx9_43.dllが見つからないと言われて起動しない。
Re: (スコア:0)
DirectX End-User Runtime Web Installerの説明には、下記注記がありますが、やっぱり信じちゃダメなんですね。
ないDLLは追加するから、嘘は言っていないという事かもしれませんが・・・
Re: (スコア:0)
開発元が責任もってランタイムを再配布しろよ
Re: (スコア:0)
DirectXエンドユーザーランタイムのDLLって再配布していいんだっけ?
Re: (スコア:0)
自己レス。DirectX SDK [microsoft.com]に含まれている再配布可能DLLを同梱すればいいのか。でもこれもSHA-1署名のみだから今のうちに確保しておかないと手の打ちようがなくなるな
Re: (スコア:0)
一応、WebInstallerでない再配布可能版 [microsoft.com]もありますよ。もちろんこれもSHA-1署名しかついていませんが。
# MSが署名だけ変えて配布継続してくれるのが一番よさそうだけど、2000年問題みたいな話なので、もうやりたくないんだろうな・・
古くから指摘(リンク先はスラド) (スコア:0)
スラドも古くなったな
Re: (スコア:0)
まあリンク切れの恐れとか考えるとリンク先を過去記事にするのは妥当なのでは
WindowsのSHA-1署名には噛みつくのに、gitはスルーされる不思議 (スコア:0)
先々のことを考えなかったLinusがVCSの設計レベルで組み込んでしまったから
もはやおいそれと変更できないのはわかるけど、そろそろBLAKE2やxxHash128あたりに変更し
git-ngとかに心機一転リリースしなおす時期じゃないんですかねぇ?
てか実際問題いつまでSHA-1使うの? >>>>git
Re:WindowsのSHA-1署名には噛みつくのに、gitはスルーされる不思議 (スコア:1)
https://lwn.net/Articles/811068/ [lwn.net]
情報が更新できなくなったら老害ムーブ一歩手前だぞ
Re: (スコア:0)
Gitの場合はコミットに一意の番号だか名前だかが勝手につけばよいのであって
なんでもよい。実際にユーザは最初の7文字ぐらいしか気にしていないわけだし。
Re: (スコア:0)
まだそんなこというひとがいるのか。
カーニハン先生の「プログラミング作法」で
ファイルの同一性を確かめるunixのsumコマンドを例にした
移植性とバージョンアップについての話がある。
sumコマンドのアルゴリズムを改良した結果、
ファイルが壊れているのか、異なるバージョンのsumが使われているのか
わからなくなった、たぶん両方だろうといっている。
アルゴリズムの改良によって役に立たなくなる場合がある例
ファイルの署名とちがってコミット相手なんだからそのままでよい
Re: (スコア:0)
〇〇ソフトウェアリポジトリの、githubクローンですーってやつときどきあるけど、
特定のコミットが偽物とすり替えたりできる気がする。
Re: (スコア:0)
クローンの方が本家より人気が出るようなことでもない限り影響はかなり限定されるのでは。
どっかの国がgithub遮断したのでミラーサイト立ち上げましたって言ってすり替えるにしても大分用意周到に準備が必要で気の長い話である。
Re: (スコア:0)
githubクローン例が嫌ならサーバー侵入された本家のコミットを差し替えでもいいけど
Re: (スコア:0)
本家のコミットを差し替えてもハッシュが変わってなければその改ざんされたコミットはpushもpullもされないんじゃないかな。
新規にクローンした奴には反映されるだろうけど。
で、本家を改ざんするには本家に侵入が必要で、それができるならコミット差し替えの懸念より他に心配することは色々ありそう。
Re: (スコア:0)
例を挙げた人間ですみませんけどSHA-1とメッセージ完全性チェックの話を進めたかったための例だったんだ。
私には進められなかった。すまない。
Re: (スコア:0)
理論の話がしたいなら最初からそう言っておけば食いつく人はそれなりにいると思う。
下手に実践例を挙げると運用上問題ないのではという返事が返ってくるのは仕方ない。
Re: (スコア:0)
大変だ! GitHubの親会社にそんな劣ったバージョン管理システムはやめさせてMicrosoft Team Foundation Serverあたりに乗り換えさせないと! えーとGitHubの親会社ってどこだっけ?
Re: (スコア:0)
TFSはフロントエンドとしてしか使ってないだろ