希望の党の公式サイトに脆弱性。希望の党の公式サイトに脆弱性。SSLv3を無効にした方が良い2017-10-04希望の党の公式サイトに脆弱性。希望の党公式サイトがオープン昨日10月3日に希望の党の公式サイトがオープンしました。PHP5.6.6構成で構築されているようです。HTTPS化されており、GMOグルーバルサインの証明書が使われています。希望の党公式サイトを見ていて気づいたのですが、SSLv3が有効になっているようです。SSLv3は1995年にできたプロトコルで、POODLEなどの致命的な脆弱性が発見されており、オラクルパディング攻撃ができてしまいます。簡単に言うと通信内容を盗み見したり中間者攻撃ができるようになります。RFC7568ではSSLv3の使用を停止するよう呼びかけられています。hyper-text.orgwww.excite.co.jp希望の党の公式サイトでは、下記のコマンド結果のようにSSLv3でのネゴシエーションを確立することができてしまいました。(ok)---希望の党がやるべきことSSLv3を無効にしてTLS通信のみにした方が良いです。Apacheのconfファイルに以下を追加してリロードしましょう。-SSLv3これで脆弱性対応ができます。この内容を希望の党のWebサイト担当の人に伝えた方が良いのかな。希望の党の公式Twitterアカウントに連絡してみました。貴党の公式サイトに脆弱性があるのを発見いたしました。詳細および解決法を↓に書いております。政治的スタンスは異なりますが、日本の将来のために貴党の活躍を願っております。脆弱性につきましてご検討頂ければと思います。2017年10月3日Netcraftのセキュリティリスクランキングでも、希望の党の公式サイトは10段階評価中の9で非常に高いです。SSLv3サポートが有効になっていることが赤く警告されています。希望の党側で対策されたようです!SSLv3のネゴシエーションを試みても失敗するようになりました。衆議院選挙も間もなく投票日ですね。検索プロフィールサイバーメガネ。本名:齊藤貴義Webエンジニア・インフラエンジニア・作家。Linuxユーザー会。システム開発や執筆のご依頼も是非。10引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。