一部製品のTLS実装に暗号解読される脆弱性、「ROBOT攻撃」受けるおそれ - 「Facebook」などにも影響

「Facebook」や「Paypal」をはじめ、多くのHTTPSホストが脆弱であると指摘。「Alexa」のトップ100サイトのうち、27サイトのサブドメインにおいて、脆弱性を確認したとしている。またサイト上で脆弱であるか確認できるツールや、　スクリプトを公開している。

今回の脆弱性にうちて、サーバ側の問題であり、ブラウザなどクライアント側による対応では問題を回避できないと説明。脆弱な製品を利用している場合、アップデートなどを実施し、パディングエラーを把握されないようにする必要がある。またTLSにおいてRSAアルゴリズムを無効にすることで影響を緩和できる。

利用環境で脆弱性が見つかった場合も、攻撃を通じてサーバのプライベートキーを取得することはできないとしており、証明書の無効化や再取得は不要だとしている。