TLS/SSLプロトコルにまた脆弱性が見つかる。世界一わかりやすいセキュリティSSLサーバ証明書から脆弱性やウイルスまで世界一わかりやすいセキュリティホームSSLNewsセキュリティソフトその他お問い合わせプロフィールTLS/SSLプロトコルにまた脆弱性が見つかる。2015.03.06先日、SSL3.0の脆弱性「POODLE」が見つかったばかりですが、TLS/SSLプロトコルに、1990年代の米国の暗号輸出規制に起因する脆弱性が見つかったそうです。TLS/SSLプロトコルにまた脆弱性見つかる。その名はFREAKフリーク今回の脆弱性で影響を受けるのはSafariAndroidとのこと。OpenSSLを利用しているサーバも影響を受けるようです。Keys)と呼ばれていて、直訳するとエクスポートしたRSAキーのファクタリング攻撃というものです。※直訳してもよく意味が分かりませんが。具体的には、悪意を持った者が中間者攻撃(man-in-the-middle)を仕掛けて通信を傍受することが出来るというものです。それができる理由というのが、SafariやAndroidに使われているOpenSSLに実装されている弱い暗号化方式が有効なためというもの。この弱い暗号化方式というのは、1990年代のアメリカでは、暗号システムに規制をかけていて、暗号を輸出する場合は暗号鍵の強度を意図的に弱めることが義務付けられていた!というものです。※外国の通信を傍受することが出来るようにするためというのですからすごい話ですね。その制限というのがRSAアルゴリズムの場合は512bitが最長だったようです。現在、そのアメリカの規制は解除されているのですが、OpenSSLではそのまま弱いアルゴリズムがサポートされたまま残っていたことが判明し、それを悪用することができるというのが今回の脆弱性です。低い暗号強度のアルゴリズムの設定が残っていても通常は無効になっているようなのですが、AndroidやSafariではMITMを使って強制的に低い暗号強度で通信させることが出来てしまい、それを解読してしまえば通信を盗み見ることが出来るということのようですね。これはサーバ側にも同様のことが言えるようなので、サーバ管理者は対応が必要になりますね。SSL/TLSプロトコルの脆弱性ですが、今回もSSLサーバ証明書で対処ができるものではないので、クライアント側のアプリケーション開発者側(今回はAppleやGoogle)で対応する必要がある内容です。SSLサーバ証明書の脆弱性ではありませんので、SSLサーバ証明書を取得し直しても対応できません。サーバ管理者は無駄なことをしないようにしたほうがいいです。OSXではセキュリティアップデートが走ると思います。このOpenSSLの問題「CVE-2015-0204」は、最新のOpenSSLリリース1.02で既にパッチが配布されているので、早めにパッチの適用をする必要があります。Serverでも影響があるようなので、そのチェック方法をまとめました。Serverでも影響あり。脆弱性のあるサーバについては以下のサイトで公開されちゃってます。website」とあるので、まぁ、ほんの一部でしかないですけどね。興味ある方はこちらからどうぞ。betwe...censys.io管理人のサルはこんな人です。ブラウザでWeb...SSLSHA-1証明書の利用停止時期が前倒しになるって本当?今のところSHA-1版証明書の利用期限は、2016年末という感じですが、どうも前倒しになるような動きがあるようですね。Transparency(CT)とは証明書の透明性を表す言葉です。証明書が透けて見えるとか...SSL“この接続は安全ではありません”このページの一部(画像など)は安全ではありません。Firefoxを使っていると時々アドレスバーのところの鍵アイコンに黄色い三角マークが出ていることありますよね。そこをクリックすると、この接続は安全ではありません。このページの一部(画像など)は安全ではありません。出来ることは分かりました。理解を深めてみましょう。長いことバタバタしていたシマンテックのSSL/TLSサーバ証明書へ対してのGoogleからの制裁についてですが、やっとこさ制裁内容が明確になりましたね。以下のサイトで詳しく書かれていますが、簡単にまとめてみました。Serverでも影響あり。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。ServerとIISの対比表2015.05.132019.03.13ルート証明書とは?簡単にわかるルート証明書の役割2014.06.202019.03.14スマートフォン(iOS、Android)でオレオレ証明書を使う!2018.11.152019.04.25カテゴリーNewsSSLTipsその他セキュリティソフト。