;4/17Outlookとの組み合わせ時の説明をちゃんと書きました先日公開されたOpenSSLの脆弱性については、Webサービスを対象にした解説や対策が多いですが、他のサービスも危ないよね、という話です。前提となるOpenSSLの脆弱性についての告知や解説については以下を参照してください。影響はどこまで及ぶさらに昨日(15日)になって、JPRSからDNSサーバの設定の再確認についての緊急告知が発表されました。(緊急)キャッシュポイズニング攻撃の危険性増加に伴うDNSサーバーの設定再確認についてこれに呼応して、以下のような情報も公開されました。最近、日本の大手ISPにおいてカミンスキー型攻撃手法によるものと考えられるキャッシュDNSサーバーへのアクセスが増加している旨、JPRSに報告がありました。ありますが、「アクセスが増加」した原因として(あくまで個人的な憶測ですが)OpenSSLの脆弱性を突いてSSL証明書の秘密鍵情報の入手に成功した人々が、ユーザを偽サイトに誘導するためにDNSへのキャッシュポイズニング攻撃を始めた、という見方も1つの可能性として考えられます。取得した秘密鍵をつかって偽サーバを構築DNSキャッシュポイズニングで一般ユーザを偽サーバに誘導という状況が、すでに始まっているのかもしれません。私の目についた範囲では、この件については主にWebサービスでの脅威が解説されています。OpenSSLはWeb以外のサービスの実装でも使われており、そうしたサービスでも同様に危険はあります。ここではメールサービスを例に、その危険性について記述します。ここで少し{=昔話=}背景の説明をすると、電子メールはいわゆるインターネット黎明期から存在するサービスで、ftpやtelnetなどと同様、平文でのパスワード認証が普通であった、牧歌的だった時代から続いているサービスです。DIGEST-MD5といった暗号化方式を採用する方向へと進んでいきましたが、メールの内容の重要性の高まりとSSLの登場により認証だけでなく通信全体を暗号化する方向へと変わっていきました。クライアント側での暗号化方式の認証への対応の差や、乱立した認証方式に全て対応しようとするとサーバ側に生パスワードを保存しなければならない等の事情もあいまって、平文認証はSSLとの組み合わせという形で今なお現役の認証方式として残り続けています。ここまで読めばなんとなく気づくかと思いますが、メールサービスをターゲットとして、OpenSSLの脆弱性を突いて秘密鍵の情報を入手する入手した秘密鍵を使って偽メールサーバを立てるこの偽サーバのIPアドレスを返すようにDNSポイズニングを仕掛けるアクセスを中継してユーザには通常のサーバと見分けがつかないようにするという中間者攻撃を仕掛ければ、メールサーバとの通信内容を盗聴することができ、さらに{ユーザが平文認証を使っている}という条件が重なると、{{~orangered:その証明書が有効な期間は偽サーバを経由するメールアカウントのパスワードが盗み放題~}}になってしまいます。この状況に対処するためには、サーバ側ではOpenSSLを脆弱性の無いバージョンにアップデートするSSL証明書を再発行するそれまで使っていた証明書はRevokeするという対応が必要です。Revokeまでやらないと、盗み取った古い証明書を使った偽サイト側も相変わらず正規のサイトと判定され、問題のある状態が継続されるはずです。ユーザ側でこの問題に対処するには、SSL通信を使っている場合でも暗号化された認証方式を利用するようにします。Thunderbirdなら、[ツール]→[アカウント設定]を開く各アカウントの「サーバ設定」をクリックするセキュリティ設定で接続の保護を"SSL/TLS"に、認証方式を"暗号化された認証方式"にするという手順で設定できます。2010で試したところ、Courier-imapサーバでは暗号化された方式での認証はできないようでした。書いてしまいましたが、非MSなメールサーバでOutlookに対応しようとするとSSL+平文による認証を許可するしか無い、というのが現状で、今回のOpenSSLの脆弱性のインパクトはかなり大きいと言えるでしょう。2.5.7-p206。