Tag Archives: Security

Best practices to secure your SSL/TLS Implementation

Lee Jihoon  | 2018.08.15

この記事は、 LINE Engineering Blog 「夏休みの自由研究 -Summer Homework-」 の 11日目の記事です。

こんにちは、LINE Infra Protection チームのSecurity Engineeringを担当しているLee Jihoon(李志勲)です。

Infra Protectionチームは、業務環境とサービス環境で使用されるインフラを、より安全に作る業務を担当しています。そのような活動の一つとして、SSL/TLS証明書に対する管理や関連ガイドを提供する活動も行っています。大規模な環境ではセキュリティはもちろん、クライアントに対する互換性とサービス環境についても考慮が必要ですが、それらに関連する経験の一部を共有します。

はじめに

まず、TLS(Transport Layer Security、以前のSSL。一般的な表記に従い以下 SSL/TLS と表記します）とは何か、簡単に解説することからスタートします。

ブラウザのようなクライアントとウェブサーバが、公開されたインターネット網を利用してコミュニケーションする際に、望む相手と安全につながるために、必要なセキュリティメカニズムを提供するインターネットプロトコルがTLSです。

技術的な要件についてはRFC 2246(TLS 1.0)、RFC 4346(TLS 1.1)、RFC 5246(TLS 1.2)まで、現在広く利用されているTLSプロトコルについて確認することができますが、持続的にセキュリティ水準が高まっています。 最近(2018/3/21)、Proposed Standardで定められたTLS 1.3には、既知のセキュリティ問題を追加で考慮した設計が含まれています。

「Bug Bounty」をテーマとしたSecurity Meetupを開催しました！

k2wanko  | 2018.05.24

こんにちは、LINEのセキュリティ室でセキュリティエンジニアをしているコキチーズです。LINEでは、社内のエンジニアであれば誰でも技術イベントの企画や、勉強会での登壇が可能です。またそういったエンジニアの対外的な活動を支援してくれる専門のチームが社内に存在します。
それを利用して「Bug Bounty」をテーマとした勉強会「Meetup in Tokyo #34 – Security Bug Bounty –」を開催しました。
セキュリティの勉強会を主催するのは初めてで不安でしたが、結果的に大勢の方にお越しいただきました。皆様ありがとうございます。

[LINE x SECCON 2017] LINE Security Bug Bounty Program キャンペーンのお知らせ

Teppei Miki  | 2018.04.03

Developer Relations Team, LINE Corporation.

Developer Relations チームの三木です。

LINEでは、コミュニケーションアプリ「LINE」および一部関連サービスに存在する脆弱性を早期に発見し、ユーザーにより安全なサービスを提供することを目的として、「LINE Security Bug Bounty Program」を実施しています。
該当サービスの安全性向上に繋がると判断した脆弱性の報告を対象に、報奨金を提供しています。

LINEがスポンサーを務めさせて頂いた、日本国内最大のセキュリティコンテストSECCON2017決勝大会（2月17日、東京電機大学）では、セキュリティ室の久保田 量大(@k2wanko)が登壇し、LINE Security Bug Bounty Programの概要やその経緯、具体的な脆弱性の報告事例、皆様に報告頂くにあたってのTipsなどを紹介いたしました。
またその発表の中で、キャンペーン「LINE x SECCON 2017 LINE Security Bug Bounty Program」の開始について、触れさせて頂きました。

告知開始から時間が経過しておりますが、 本Engineering Blogでもあらためてご案内させて頂きます。

2017年LINE Security Bug Bounty Programの結果について

MJ  | 2018.02.14

LINEでセキュリティに関する業務を担当しています。

こんにちは。LINEでセキュリティに関する業務を担当しているMJです。

今回の記事では、2017年（1月1日〜12月31日）の「LINE Security Bug Bounty Program」を振り返り、皆さんにご紹介していきたいと思います。このプログラムは、LINEが提供するサービスにおいて潜在的に存在する脆弱性を外部のエンジニアの方々からご報告を頂き、我々が迅速に修正していくことで皆様により安全なサービスを提供することを目的としています。

VoIPのオープンソースライブラリPJSIPにおけるバッファオーバーフロー

Kim Youngsung  | 2017.12.24

LINEでセキュリティエンジニアとして働いています。バグを探すのが楽しく、セキュアコーディングへの関心が高いです。

こんにちは。セキュリティ室（アプリケーションセキュリティチーム）で主にLINEサービスのセキュリティ診断を担当しているYoungsung Kim（Facebookアカウント/Twitterアカウント）です。

これはLINE Advent Calendar 2017の24日目の記事です。

今日はVoIPのオープンソースライブラリであるPJSIPの脆弱性（CVE-2017-16872およびAST-2017-009）について書かせていただきます。PJSIPは、標準プロトコル（SIP、SDP、RTP、STUN、TURN、ICE）を実装したオープンソースのマルチメディア通信ライブラリです。たとえばIP PBXやVoIPゲートウェイなどで広く使用されているAsteriskフレームワークは、PJSIPを使用してSIPスタックを実装しています。

はじめに

今回発見した脆弱性は、64ビット環境においてクライアントから受け取ったデータを処理する際にsigned intからunsigned longへの暗黙的な型変換（型キャスト）が行われており、そこで整数型の符号拡張を考慮していないことが原因でバッファオーバーフローが発生するというものでした。この脆弱性についての詳細は、「(Security) Function in PJSIP 2.7 miscalculates the length of an unsigned long variable in 64bit machines」を参照してください。

CEDEC 2017 登壇レポート 「LINEゲームのセキュリティ診断手法」

Teppei Miki  | 2017.09.11

Developer Relations Team, LINE Corporation.

2017年8月30日(水)〜9月1日（金）にパシフィコ横浜で開催された コンピュータエンターテインメントデベロッパーズカンファレンス2017(CEDEC 2017) にて、LINEはPRプログラムスポンサーとして協賛いたしました。8月31日には、セキュリティ室に所属するエンジニアである愛甲健二が、「LINEゲームのセキュリティ診断手法」と題して登壇しました。

LINE and Intertrust Security Summit 2017 Spring, Tokyo レポート前編

Naohisa Ichihara  | 2017.07.21

こんにちは、LINE セキュリティ室の市原です。
普段は、LINEの提供するサービスのセキュリティコンサル、アカウント乗っ取り/Abusing対策、認証技術の調査・研究、標準化活動、などを行っています。今日は、5月17日にLINEとIntertrust社が主催で開催した「LINE and Intertrust Security Summit 2017 Spring, Tokyo」について報告したいと思います。
こちらのエントリはイベントレポートの前編です。後編はこちら。

LINE and Intertrust Security Summit 2017 Spring, Tokyo レポート後編

Naohisa Ichihara  | 2017.07.21

こんにちは、LINE セキュリティ室の市原です。
普段は、LINEの提供するサービスのセキュリティコンサル、アカウント乗っ取り/Abusing対策、認証技術の調査・研究、標準化活動、などを行っています。今日は、5月17日にLINEとIntertrust社が主催で開催した「LINE and Intertrust Security Summit 2017 Spring, Tokyo」について報告したいと思います。
こちらのエントリはイベントレポートの後編です。前編はこちら。

LINE Engineer Insights vol.5「セキュリティ室シニアエンジニアに聞く、LINEのスパム対策と今後の展望」

LINE Engineering Blog  | 2017.07.06

LINE で働くエンジニアに色々と話を聞いていく「LINE Engineer Insights」の第5弾です。当コーナーはインタビュアーに LINE で働くエンジニア @tokuhirom を迎え、エンジニア同士でざっくばらんにお話を伺っていくというものです。今回も、LINE のエンジニアは一体どんな人達なのか、その内面に迫っていきたいと思います。
第5弾はセキュリティ室 アプリケーションセキュリティチーム所属の石田暁久に、LINEのスパム対策やセキュリティのツール開発などについて聞いてきました。

LINEのセキュリティチームはどんなチーム？

―― tokuhirom
宜しくお願いします。最初に、入社時期と現在メインでやってらっしゃる仕事を聞かせていただけますか？