「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める

暗号化通信プロトコルである「SSL 3.0」に、中間者攻撃でデータを盗聴される脆弱性が含まれていることがわかった。今回見つかった脆弱性は、通称「POODLE」とも呼ばれ、セキュリティ機関などは、同プロトコルの利用を避けるよう注意を呼びかけている。

「SSL 3.0」は、1995年に発表され、20年弱にわたり利用されてきた暗号プロトコル。すでに後継となるプロトコル「TLS 1.0」「同1.1」「同1.2」が利用されているが、互換性を維持するために現在も多くのソフトウェアが実装している。

今回の脆弱性「CVE-2014-3566」は、Googleの研究者が脆弱性を公表したもの。従来の「SSL 3.0」実装環境では、「TLS」が利用できない場合に「SSL 3.0」へ自動的にダウングレードする機能が存在。それら機能と「SSL 3.0」のCBCモードに存在する脆弱性への攻撃を組み合わせた「POODLE（Padding Oracle On Downgraded Legacy Encryption）」攻撃によって、Cookieなどの窃取が可能になるという。

今回の問題を受け、ChromeやFirefoxなどは、今後「SSL 3.0」を無効化する方針。日本マイクロソフトもアドバイザリを公表し、対応を検討している。

またOpenSSL Projectでは、同脆弱性について深刻度を「中」とする一方、POODLE攻撃を受けないよう通信プロトコルのダウングレードを行わない「TLS_FALLBACK_SCSV」をサポートしたバージョンを公開した。

（Security NEXT - 2014/10/16 ）ツイート

「SSL 3.0」に脆弱性、「POODLE」攻撃が可能に - 各ベンダーは対処進める

関連リンク

PR

関連記事