Loading article…
 | |
| 以前は | コモドセキュリティソリューションズ株式会社 |
|---|---|
| 会社種別 | プライベート |
| 業界 | コンピュータソフトウェア |
| 設立 | イギリス (1998年) [1] |
| 本部 | 、 アメリカ合衆国 |
サービスエリア | 全世界 |
主要人物 | メリフ・アブドゥルハヨル(社長兼会長) |
従業員数 | 1,200+ [引用が必要] |
| Webサイト | ホームページ |
Xcitiumは、以前はComodo Security Solutions, Inc. [ 2]として知られており、ニュージャージー州ブルームフィールドに本社を置くサイバーセキュリティ企業です。同社はSectigoというブランド名でWeb証明機関（CA）として機能し、 SSL/TLS証明書を発行しています。
歴史
同社は1998年にメリフ・アブドゥルハヨウル氏によって英国で設立されました[1]。同社は2004年に米国に移転しました。同社の製品はコンピュータとインターネットのセキュリティに重点を置いています。同社はSSL証明書を発行する認証局を運営しています。同社はまた、 IETF（インターネット技術タスクフォース）のDNS認証局認可（CAA）リソースレコードに貢献することで標準の設定にも貢献しました。[3]
2017年10月、Francisco PartnersはComodo Security Solutions, Inc.からComodo Certification Authority（Comodo CA）を買収しました。Francisco Partnersは2018年11月にComodo CAをSectigoにブランド変更しました。[4] [5]
2018年6月28日、新組織は、IoTデバイスセキュリティプラットフォームを発表し、TLS/SSL証明書からIoTセキュリティへと事業を拡大すると発表しました。[6]同社は、2018年7月3日にニュージャージー州ローズランドに新本社を開設することを発表しました。 [7 ]また、2018年8月16日には、ウェブサイトのメンテナンスと災害復旧を行うCodeGuardの買収を発表しました。 [8]
2020年6月29日、ComodoはCyberSecOp社との戦略的提携を発表しました。[要出典]同社は過去にもComodoと提携しており、幅広いサイバーセキュリティ製品とコンサルティングサービスの提供を目指しています。
企業
- Comodo CA Limited (Sectigo):英国グレーター・マンチェスターのサルフォード市に拠点を置く[9]デジタル認証局で、SSLやその他のデジタル証明書を発行しています。2018年11月、Francisco Partnersは、Comodo Certificate Authority (Comodo CA)がSectigoにブランド名を変更すると発表しました。[10]
- Comodo Security Solutions, Inc: 米国ニュージャージー州クリフトンに拠点を置き、商用および消費者向けのセキュリティソフトウェアを開発しています。[11]
- DNS.com：米国ケンタッキー州ルイビルに拠点を置く同社は、マネージドDNSサービスを提供しています。[12]
業界団体
Comodo は以下の業界団体の会員です。
- 認証局セキュリティ協議会（CASC）：2013年2月、Comodoは業界の問題に対処し、インターネットセキュリティについて一般の人々を教育することを目的としたこの業界擁護団体の創設メンバーになりました。[13] [14]
- 共通コンピューティングセキュリティ標準フォーラム（CCSF）：2009年、Comodoはエンドユーザーを保護する業界標準を推進する業界団体であるCCSFの創設メンバーとなった。ComodoのCEOであるMelih AbdulhayoğluはCCSFの創設者とみなされている。[15]
- CA/ブラウザフォーラム: 2005年、Comodoは、インターネットセキュリティの業界標準と基本要件の推進を目的とした、新しい認証局とウェブブラウザベンダーのコンソーシアムの創設メンバーでした。[16] [17] Melih Abdulhayoğluは、トップブラウザプロバイダーと認証局を円卓会議に招待し、デジタル証明書発行のベストプラクティスガイドラインを提供する責任を持つ中央機関の設立について話し合いました。[18]
製品
- Comodo Dragon (ウェブブラウザ)
- コモド アイス ドラゴン (Web ブラウザ)
- コモドインターネットセキュリティ
- Comodo システムユーティリティ
- コモドモバイルセキュリティ
- コモドエンドポイント保護
- エキシチウムEDR [19]
論争
シマンテック
有料のウイルス対策ソフトが無料のウイルス対策ソフトより優れているというシマンテックのコメントに応えて、コモド・グループの CEO であるメリフ・アブドゥルハヨルは2010 年 9 月 18 日にシマンテックに対し、有料製品と無料製品のどちらが消費者をマルウェアからよりよく守れるかという問いを投げかけた。[20] GCN のジョン・ブリーデンは、コモドの無料ウイルス対策ソフトに対する姿勢とシマンテックへの問いかけを理解していた。「これは、GCN ラボで行った AV パフォーマンスの以前のレビューに基づくと、実はかなり賢い動きです。今年最新の AV レビューでは、ウイルスを阻止する点において、無料プログラムと有料プログラムの間に機能的な違いは見られませんでした。これは何年も前から同じです。実際、一部の企業がウイルスを見逃した AV のまとめを見つけるには、2006 年までさかのぼる必要があります。」[21]
シマンテックは、もしコモドが興味を持っているのであれば、独立したレビュー担当者によるテストに自社製品を含めるべきであると回答した。[22]
Comodoは、Symantec対Comodoの独立レビューに自発的に参加しました。[23] この対決は実現しませんでしたが、Comodoはその後、AV-Test、[24] PC World、[25] Best Antivirus Reviews、[26] AV-Comparatives、[27] PC Magなどの複数の独立レビューに取り上げられました。[28]
証明書ハッキング
2011年3月23日、コモドは、その8日前の2011年3月15日に、関連登録機関のユーザーアカウントが侵害され、新しいユーザーアカウントの作成に使用され、9つの証明書署名要求が発行されたというレポートを掲載した。[29] 7つのドメインに対して9つの証明書が発行された。[29]この攻撃は、イランのテヘランを発信元とするIPアドレス212.95.136.18にまで遡った。[29] モクシー・マーリンスパイクは翌日、自身のウェブサイトでこのIPアドレスを分析し、英語版とWindowsオペレーティングシステムを使用していることを発見した。[30]同社は当初、この侵害は「国家主導の攻撃」によるものだと報告したが、その後、攻撃の起源は「攻撃者が偽の痕跡を残そうとした結果」かもしれないと述べた。[29] [31]
Comodoは、侵害が発覚した直後にすべての偽造証明書を失効させた。また、Comodoは関連会社のセキュリティを向上させる方法を積極的に検討していると述べた。[32]
2011年3月31日の更新で、コモドは2011年3月26日に再販業者のユーザーアカウントへの侵入を検知し阻止したと発表した。2011年3月15日の事件後にコモドが実施した新しい管理策により、証明書の不正発行のリスクはなくなった。コモドは、この攻撃は2011年3月15日の事件と同じ犯人によるものだと確信している。[33]
この2回目の事件に関して、コモドは「当社のCAインフラストラクチャは侵害されていません。当社のHSM内のキーも侵害されていません。証明書は不正に発行されていません。証明書発行プラットフォームに不正にアクセスして証明書を発行する試みは失敗しました」と述べています。[34]
2011年3月26日、「ComodoHacker」というユーザー名の人物が、秘密鍵をオンラインで公開して自分が攻撃者であることを証明し[35]、Comodoのセキュリティがいかに貧弱であるかを詳述し、自分の能力を自慢する一連のメッセージを投稿しました。[36] [37]
私はInstantSSL.itからComodoをハッキングしました。同社のCEOのメールアドレスはmfpenco@mfpenco.comです。
Comodo のユーザー名/パスワードは次のとおりです: ユーザー: gtadmin パスワード: globaltrust
DB名はglobaltrustとinstantsslcmsでした。
もう十分でしょう？はい、もう十分です。知っているべき人はすでに知っています...
とにかく、まず最初に言っておきたいのは、我々はイランのサイバー軍とは何の関係もないということだ。我々はDNSを変更していないし、
ハックして所有するだけです。
コモドのCEOらは、これは計画された攻撃であり、組織的な攻撃であり、
サイバー犯罪者がやった、など。
説明させてください:
a) 私はグループではありません。1000人のハッカーの経験を持つ単独のハッカーであり、単独のプログラマーであり、
1000人のプログラマーの経験、私は1000人のプロジェクトの経験を持つ独身のプランナー/プロジェクトマネージャーです
マネージャー、おっしゃる通り、1000人のハッカーが管理していますが、1000人のハッカーの経験があるのは私だけです
ハッカー。
このような問題は広く報道されており、証明書の発行と失効の方法に対する批判につながっています。[38] [39] [40] [41] 2016年現在、すべての証明書は失効したままです。[29]マイクロソフトは、事件発生時にこの問題に対処するためのセキュリティアドバイザリと更新プログラムを発行しました。[42] [43]
この問題に対するコモドの対応の悪さについて、コンピュータセキュリティ研究者のモクシー・マーリンスパイク氏は、この事件はコモドにとって非常に恥ずかしいものであり、SSLセキュリティを再考する必要があると述べた。また、攻撃者はオンラインのビデオチュートリアルに従って基本的なopsecを検索したと示唆されている[30]
このような攻撃はコモドに限ったことではなく、具体的な内容はCAごと、RAごとに異なりますが、このような組織は非常に多く、すべてデフォルトで信頼されているため、さらなるセキュリティホールが生まれることは避けられないと考えられます。[44]
PrivDogとの提携
2015年2月、Comodoは、悪質な広告からユーザーを保護すると主張するPrivDogと呼ばれる中間者攻撃ツールに関連していた。[45]
PrivDog は 2015 年 2 月 23 日に声明を発表し、「PrivDog スタンドアロン アプリケーションで使用されるサードパーティ ライブラリに、ごく少数のユーザーに影響する可能性のある軽微な断続的な欠陥が検出されました。この潜在的な問題は、PrivDog バージョン 3.0.96.0 および 3.0.97.0 にのみ存在します。この潜在的な問題は、Comodo ブラウザーで配布される PrivDog プラグインには存在せず、Comodo はこのバージョンをユーザーに配布していません。この影響を受ける可能性のあるユーザーは、米国で最大 6,294 人、全世界で 57,568 人です。PrivDog が使用するサードパーティ ライブラリは、Superfish が使用するサードパーティ ライブラリと同じではありません。潜在的な問題はすでに修正されています。明日、これらの特定の PrivDog バージョンの 57,568 人のユーザー全員を自動的に更新する更新が行われます。」と述べました。[46]
既知のマルウェア配布者に発行された証明書
2009年、マイクロソフトMVPのマイケル・バージェスは、コモドが既知のマルウェア配布者にデジタル証明書を発行したと非難した。 [47]コモドは通知を受けて対応し、既知のマルウェアの署名に使用された問題の証明書を取り消した。[48]
Chromodo ブラウザ、ACL、ASLR なし、VNC の弱い認証
2016年1月、タヴィス・オーマンディは、コモドのChromodoブラウザに、同一生成元ポリシーの無効化を含むいくつかの脆弱性があることを報告した。[49]
脆弱性はブラウザ自体に存在したものではなく、アドオンに問題があった。2016年2月初旬にこの問題に気付くと、同社は声明と修正を発表した。「業界として、ソフトウェア全般は常に更新、パッチ適用、修正、対処、改善が行われており、開発サイクルと密接に関係している。ソフトウェア開発で重要なのは、特定の脆弱性が見つかった場合に企業がその問題にどう対処するか、つまり顧客が危険にさらされないようにすることだ」。Chromodoを使用しているユーザーはすぐにアップデートを受け取った。[50]その後、ChromodoブラウザはComodoによって廃止された。
オーマンディ氏は、コモドがブラウザに脆弱性があり、VNC がデフォルトで弱い認証で配信され、アドレス空間レイアウトランダム化 (ASLR) が有効にされておらず、製品全体でアクセス制御リスト (ACL) を使用しているにもかかわらず、ベライゾンから「情報セキュリティテストにおける優秀賞」を受賞したと指摘した。オーマンディ氏は、ベライゾンの認証方法に問題があると考えている。[51]
Let's Encrypt 商標登録申請
2015年10月、コモドは「Let's Encrypt」、「Comodo Let's Encrypt」、「Let's Encrypt with Comodo」の商標を申請した。[52] [53] [54]これらの商標申請は、 Let's Encryptの親組織であるインターネットセキュリティリサーチグループが2014年11月にLet's Encryptという名前を公に使い始めてからほぼ1年後に提出されたが、 [55]コモドの「使用意図」商標申請では、同社が「Let's Encrypt」をブランドとして使用したことがないことが認められている。
2016年6月24日、コモドは自社のフォーラムに商標出願の「明示的放棄」を申請したと公表した。[56]
コモドの最高技術責任者ロビン・アルデンは、「コモドは、商標出願を待って失効させるのではなく、現時点で商標出願の放棄を申請しました。レッツ・エンクリプトとコモドの協力により、商標問題は解決し、過去のものとなりました。解決に協力してくれたレッツ・エンクリプトチームに感謝したいと思います。」と述べた。[57]
ぶら下がりマークアップインジェクションの脆弱性
2016年7月25日、マシュー・ブライアントは、コモドのウェブサイトがダングリングマークアップインジェクション攻撃に対して脆弱であり、コモドのサーバーからシステム管理者に電子メールを送信してワイルドカード証明書の発行要求を承認することができ、コモドの30日間PositiveSSL製品を介して任意のワイルドカード証明書を発行できることを示しました。[58]
ブライアントは2016年6月に連絡を取り、2016年7月25日にコモドの最高技術責任者ロビン・アルデンは、業界標準に従って責任ある開示期限内に修正が実施されたことを確認した。[59]
参照
参考文献
- ^ ab 「米国起業家の世界的なインターネットセキュリティ会社がブラッドフォードで創業した経緯」Telegraph & Argus 2014年9月3日2014年9月3日閲覧。
- ^ Snider、Shane（2022年8月23日）。「Xcitium幹部：「個人経営」のランサムウェア攻撃者が中小企業を狙う」CRN。
- ^ Hallam-Baker, P.; Stradling, R. (2013). 「DNS Certification Authority Authorization – Comodo」. doi : 10.17487/RFC6844 . S2CID 46132708 . 2013年1月14日閲覧。
{{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です - ^ 「Comodo が証明書事業をプライベートエクイティ会社に売却 | SecurityWeek.Com」www.securityweek.com 2017 年 10 月 31 日。2019年10 月 29 日閲覧。
- ^ マーフィー、イアン（2018年11月2日）。「Comodo CAがSectigoになり、IoTをカバーできるように拡大」。エンタープライズタイムズ。 2019年11月21日閲覧。
- ^ 「Comodo CA、IoTセキュリティプラットフォームを発表」BetaNews 2018年6月28日。 2019年10月29日閲覧。
- ^ ペリー、ジェシカ（2018年7月3日）。「Comodo CAグローバルHQがローズランドに登場」NJBIZ 。 2019年10月29日閲覧。
- ^ Novinson, Michael (2018年8月16日). 「Comodo CA、ウェブサイト災害復旧スタートアップCodeGuardを買収」CRN . 2019年10月29日閲覧。
- ^ 「Comodo – お問い合わせ」。
- ^ “Comodo CA、Sectigo にブランド変更”. Sectigo® 公式。2024 年6 月 18 日に取得。
- ^ 「Comodo Security Solutions, Inc」Icsalabs.com . 2015年3月30日閲覧。
- ^ Joe Callan. 「Domainers Magazine – DNS.com : The Next Geo-Targeting Solution – Jul–Aug (Issue 22)」. Domainersmagazine.com . 2015年4月12日時点のオリジナルよりアーカイブ。2015年3月30日閲覧。
- ^ Ellen Messmer (2013年2月14日). 「デジタル証明書の問題に対処するためにマルチベンダー電力協議会が結成」. Network World . 2013年7月28日時点のオリジナルよりアーカイブ。
- ^ 「認証セキュリティのニュース、分析、ディスカッション、コミュニティ」Darkreading.com。 2013年4月10日時点のオリジナルよりアーカイブ。2015年3月30日閲覧。
- ^ “SecurityPark”. 2015年4月2日時点のオリジナルよりアーカイブ。2015年3月30日閲覧。
- ^ 「CA/Browser Forum」。Cabforum.org 。 2013年4月23日閲覧。
- ^ Wilson, Wilson. 「CA/ブラウザフォーラムの履歴」(PDF) . DigiCert . 2013 年4 月 23 日閲覧。
- ^ 「Industry Round Table 2005年5月17日 – ニューヨーク」(PDF) 。 2005年5月17日閲覧。
- ^ 「Xcitium EDR」.
- ^ Abdulhayoğlu, Melih (2010 年 9 月 18 日). 「Comodo CEO による Symantec への挑戦」. Comodo Group. 2011 年 1 月 25 日時点のオリジナルよりアーカイブ。2010年9 月 22 日閲覧。
- ^ John Breeden II (2010年9月27日). 「無料のウイルス対策は劣っているか?」gcn.com . 2016年12月23日閲覧。
- ^ Rubenking, Neil J. (2010 年 9 月 22 日)。「Comodo が Symantec にウイルス対策の対決を挑む」。PC Magazine。Ziff Davis, Inc. 2010 年9 月 22 日閲覧。
- ^ 「Comodo CEO から Symantec への挑戦!」。2016 年 8 月 15 日時点のオリジナルよりアーカイブ。2016年12 月 23 日閲覧。
- ^ スミス氏。「AV-test Lab が Windows および Linux マルウェアに対して 16 種類の Linux ウイルス対策製品をテスト」www.networkworld.com。2015年 10 月 7 日時点のオリジナルよりアーカイブ。2016年12 月 23 日閲覧。
- ^ Erik Larkin (2009年8月24日). 「Comodo Internet Security 無料アンチウイルスソフトウェア」www.pcworld.com . 2016年12月23日閲覧。
- ^ Daniele P. 「Comodo 2016 Review: Malware Protection & Online Security」www.bestantivirus.com。2016年12月28日時点のオリジナルよりアーカイブ。2016年12月23日閲覧。
- ^ 「ウイルス対策ソフトウェアの独立テスト」www.av-comparatives.org 。 2016年12月23日閲覧。
- ^ Neil P. Rubenking. 「2016 年最高の無料ウイルス対策」www.pcmag.com 。2016 年12 月 23 日閲覧。[永久リンク切れ]
- ^ abcde 「2011年3月15日の事件報告：2011年3月31日更新」。Comodoグループ。 2011年3月24日閲覧。
- ^ ab “DEF CON 19 - Moxie Marlinspike - SSL And The Future Of Authenticity - YouTube”. www.youtube.com . 2013年11月2日. 2021年12月13日時点のオリジナルよりアーカイブ。 2021年1月13日閲覧。
- ^ Hallam-Baker, Phillip (2011 年 3 月 23 日)。「最近の RA の妥協案」Comodo ブログ。2011 年3 月 24 日閲覧。[永久リンク切れ]
- ^ 「イラン、ネットセキュリティへの『重大な』攻撃で告発される」BBCニュース。2011年3月24日。 2016年12月23日閲覧。
- ^ 「Update 31-MAR-2011」 。 2016年12月23日閲覧。
- ^ 「Update 31-Mar-2011」 。 2016年12月23日閲覧。
- ^ グラハム、ロバート。「コモドハッカーのキーの検証」
- ^ Bright, Peter (2011年3月28日). 「イランの独立系ハッカーがComodoハッキングの責任を主張」（WIRED） . Wired . 2011年3月29日閲覧。
- ^ 「ComodoHacker's Pastebin」. Pastebin.com. 2011年3月5日. 2015年3月30日閲覧。
- ^ Eckersley, Peter (2011 年 3 月 23 日)。「イランのハッカーが不正な HTTPS 証明書を取得: Web セキュリティの崩壊にどれほど近づいたのか?」EFF。2011年3 月 24 日閲覧。
- ^ 「イラン、ネットセキュリティへの『重大な』攻撃で告発される」（BBC）。BBCニュース。2011年3月24日。 2011年3月24日閲覧。
- ^ 「認証局の侵害とウェブブラウザの共謀の検出」TOR 2011年3月22日2011年3月24日閲覧。
- ^ Elinor Mills および Declan McCullagh (2011 年 3 月 23 日)。「Google、Yahoo、Skype がイランに関連する攻撃の標的に」CNET。2011年 3 月 25 日時点のオリジナルよりアーカイブ。2011 年3 月 24 日閲覧。
- ^ 「Microsoft セキュリティ アドバイザリ (2524375)」 ( Microsoft )。Microsoft 。2011 年 3 月 23 日。2011 年3 月 24 日閲覧。
- ^ 「 Microsoftセキュリティ アドバイザリ: 不正なデジタル証明書によりなりすましが行われる可能性があります」。Microsoft 2011 年 3 月 23 日。2011年3 月 24 日閲覧。
- ^ 「イランの独立系ハッカーがコモドハックの責任を主張」Wired 2011年3月28日 オリジナルより2016年3月24日時点のアーカイブ。 2016年12月23日閲覧。
- ^ コンスタンティン、ルシアン。「Superfish より悪い？ Comodo 傘下の PrivDog も Web セキュリティを侵害」。PC World。2024年7 月 24 日閲覧。
- ^ 「PrivDog セキュリティアドバイザリ (脅威レベル: 低)」 。 2016 年12 月 23 日閲覧。[永久リンク切れ]
- ^ 「Comodo は既知のマルウェアに対して証明書を発行し続けます - 2009 年 5 月 - フォーラム」。
- ^ 「Microsoft MVP の Mike Burgess 氏が、マルウェア配布者に発行された Comodo 証明書について Comodo の CEO に応答」 。2016年12 月 23 日閲覧。
- ^ https://code.google.com/p/google-security-research/issues/detail?id=704 |title=Comodo「Chromodo」ブラウザが同一生成元ポリシーを無効にし、実質的にウェブセキュリティをオフにする
- ^ 「Comodo が Chrome ブラウザの模倣品の重大な欠陥を修正予定」 2016 年 2 月 4 日。 2016 年12 月 23 日閲覧。
- ^ ウイルス対策認証基準の変更が必要な理由、tripwire、2016 年 3 月 23 日。
- ^ 「商標ステータスと文書検索」tsdr.uspto.gov 。 2016年6月23日閲覧。
- ^ 「商標ステータスと文書検索」tsdr.uspto.gov 。 2016年6月23日閲覧。
- ^ 「商標ステータスと文書検索」tsdr.uspto.gov 。 2016年6月23日閲覧。
- ^ Tsidulko, Joseph (2014 年 11 月 19 日)。「Let's Encrypt、無料の自動認証局がステルス モードから脱却」。CRN。2016年6月 23 日閲覧。
- ^ “トピック:商標登録”. 2020年11月8日時点のオリジナルよりアーカイブ。2016年6月24日閲覧。
- ^ 「Comodo が Let's Encrypt との商標争いから撤退」 2016 年 6 月 27 日。2016年12 月 23 日閲覧。
- ^ 「ポジティブさを保つ - ダングリング マークアップ インジェクションにより Comodo から任意のワイルドカード SSL 証明書を取得する」thehackerblog.com。2016 年 7 月 25 日。2016年7 月 29 日閲覧。
- ^ 「ポジティブさを保つ - ダングリング マークアップ インジェクションによる Comodo からの任意のワイルドカード SSL 証明書の取得」。2016 年 7 月 25 日。2016年12 月 23 日閲覧。
外部リンク
- 公式サイト