通信を中継し、盗聴や改ざんを行う。公開鍵の選択[編集]公開鍵は(何かしらの証明を付けた)静的なものであっても、一時的なもの(ephemeral、この場合特にDHEと略記される)であってもかまわない。一時的な鍵を使用した場合、鍵そのものには認証がないため、別な方法で認証を行うこととなる。認証がなければ、上述の通り中間者攻撃に対して脆弱となる。secrecyのような、その他の高度なセキュリティに与ることはできなくなる。静的な鍵を持つ側では、自身の秘密鍵漏洩を防ぐため、相手の公開鍵を確認して、安全な共通鍵生成関数を利用する必要がある。共有した秘密をそのまま鍵として使うこともできなくはないが、ディフィー・ヘルマン鍵共有で生成したことによってできる弱いビットの影響を除去するため、秘密をハッシュに通すことが推奨される[2]。問題点[編集]処理負荷[編集]ディフィー・ヘルマン鍵共有は負荷のかかる処理であり、SSL/TLSに適用した場合では、通常のRSA暗号による鍵交換の場合と比較して、サーバのスループットが6分の1程度まで落ち込むという実験結果も存在する[3]。パラメータの設定ミス[編集]これはディフィー・ヘルマン鍵共有のシステム自体に存在する問題ではないが、2013年の調査では、SSL/TLSでディフィー・ヘルマン鍵共有を有効としているサーバのうち、電子署名のビット数よりDHのビット数のほうが小さく、総当たり攻撃に対して弱くなってしまっているサーバが、実に80%以上の割合で存在していた[4]。攻撃[編集]原理上は解読がきわめて困難ではあるが、実装上の問題が存在する場合解読が可能になる場合がある。(言い換えれば、その素数を弱鍵にすることができる)[5]。2015年、このことを元にした論文が発表された[6]。行うことで多くのサーバーの通信に対して解読が行えることを指摘した。512ビットの素数に対しては解読を実証し、数千コアと約8日の事前計算により、およそ70秒で解読できることを示した[6]。同論文は1024ビットの非輸出版DHEについても、数億ドルのコストをかけ専用ハードウェアを構築した場合、1年で1つの素数に対して十分な線形代数計算を実行できる可能性があることを示唆している[6]。2012年1月19日閲覧。(2013)、pp.13-14。(2013)、p.9。2017年12月24日閲覧。2017年12月24日閲覧。シマンテック、2013年(2014年6月12日閲覧)。(日時は個人設定で未設定ならばUTC)。表示-継承ライセンスの下で利用可能です。追加の条件が適用される場合があります。詳細は利用規約を参照してください。Cookieに関する声明モバイルビュ。