3.0に深刻なセキュリティ脆弱性があることを明らかにした。3.0はかなり前に導入された暗号化プロトコルでありながら、依然として多く使用されている。Möller氏によると、「この脆弱性により、セキュアな接続のプレーンテキストがネットワーク攻撃者によって割り出される恐れがある」という。3.0との下位互換性を維持している。通常、このセキュリティプロトコルのハンドシェークは、認証されたバージョンのネゴシエーションを行う。このようにして、クライアントとサーバの両方に共通する最新のプロトコルバージョンが使用される。ここに損害をもたらす問題が潜んでいる。3.0が提供するセキュリティレベルは依然として同等だ。Authorizationヘッダーの内容といった、そのほかの署名なしトークンを盗むことが可能だ。3.0ではRC4暗号でも危険性が指摘されている。RC4暗号化の始まりは1987年にさかのぼり、まさにその年から自動車並みの信頼性を得ている。RC4を解読する方法は何通りもある。3.0の使用を終わらせることはなかった。実際、2013年になっても、依然としてウェブ接続の40%超でRC4が使用されているとMicrosoftは述べている。POODLEは、今日のウェブ上に存在するこの脆弱性を悪用する方法を新たに示した。Möller氏の説明によると、それは、BEASTとして知られる既知の中間者攻撃の形式を利用することで可能になる。3.0接続を確立する必要がある。3.0を無効にすれば、この攻撃を回避することが可能だ。3.0である場合にはお手上げだ。この場合、安全でない暗号化を回避するために本格的なアップデートが必要だ。Googleは、TLS_FALLBACK_SCSVをウェブまたはSSHサーバでサポートすることを推奨している。これにより、失敗した接続の再試行をサーバが許可することを防ぐことができる。3.0をデフォルトで使うことを防ぐことができる。Möller氏は次のように結論付けている。Chrome』とわれわれのサーバは2月以来、TLS_FALLBACK_SCSVをサポートしている。そのため、互換性の問題もなく使用が可能という証拠を十分に得ている。3.0へのフォールバックを無効にする変更のテストを開始する予定だ。この変更は、一部サイトに影響を与える可能性があるが、それらのサイトはアップデートをただちに受ける必要がある。Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。Japanをご覧ください。ついて運営会社サイトマップ当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。