BIGLOBEセキュリティニュース

アクセスカウンタ

zoom RSS 一部製品のTLS実装に暗号解読の脆弱性"ROBOT攻撃"受けるおそれ-"Facebook"等にも影響

<<   作成日時 : 2017/12/14 15:31   >>

トラックバック 0 / コメント 0

セキュリティ最新ニュース

一部製品において「Transport Layer Security(TLS)」の実装に問題があり、暗号化されたデータが解読されるおそれがあることがわかった。脆弱性を容易に特定できる「ROBOT攻撃」が公表され、著名サイトなども影響を受けることが明らかになっている。

RSA暗号化における「Public-Key Cryptography Standards (PKCS) #1 v1.5」のパディングエラーを解析することで、暗号データの解読が可能となる「Bleichenbacher攻撃」を受けるおそれが従来より指摘されているが、同攻撃への対策が十分に取られていない製品が複数明らかになったもの。

脆弱性を公表した研究者は、タイムアウトやコネクションのリセットなどの複数のシグナルから容易に脆弱性を確認できる「Return Of Bleichenbacher's Oracle Threat」の頭文字を取った「ROBOT攻撃」を発見。多数環境へ影響を及ぼすことがわかったという。

研究者によれば、サポートが終了した製品も含まれるが、F5 Networks、Cisco Systems、Citrix Systemsなど、広く利用されている少なくとも7ベンダーにおいて脆弱な製品があることを確認したという。

「Facebook」や「Paypal」をはじめ、多くのHTTPSホストが脆弱であると指摘。「Alexa」のトップ100サイトのうち、27サイトのサブドメインにおいて、脆弱性を確認したとしている。またサイト上で脆弱であるか確認できるツールや、 スクリプトを公開している。

今回の脆弱性について、サーバ側の問題であり、ブラウザなどクライアント側による対応では問題を回避できないと説明。脆弱な製品を利用している場合、アップデートなどを実施し、パディングエラーを把握されないようにする必要がある。またTLSにおいてRSAアルゴリズムを無効にすることで影響を緩和できる。

利用環境で脆弱性が見つかった場合も、攻撃を通じてサーバのプライベートキーを取得することはできないとしており、証明書の無効化や再取得は不要だとしている。

(Security NEXT - 2017/12/13 )

関連リンク
The ROBOT Attack
CERT/CC:TLS implementations may disclose side channel information via discrepencies between valid and invalid PKCS#1 padding
JVN:複数のTLS実装においてBleichenbacher攻撃対策が不十分である問題
CERT/CC
JVN

■出典:Security NEXT

── ウイルス感染などの被害にあわないために・・・
被害を防ぐためには、パソコンのOSやソフトウェアの更新プログラムの適用と、ウイルス対策ソフトを利用して定義ファイルを最新に保つ、2つのことが重要です。

BIGLOBEの総合ウイルス対策ソフト『セキュリティセット・プレミアム』は、ウイルスや迷惑メール、不正アクセスなど、インターネットのあらゆる脅威からあなたのパソコンやスマホを守ります。

新規申込の方なら、今月と翌月の月額料金が【無料】です。
詳細はこちら

テーマ

関連テーマ 一覧


月別リンク

ニュースの更新のお知らせを受け取ろう



一部製品のTLS実装に暗号解読の脆弱性"ROBOT攻撃"受けるおそれ-"Facebook"等にも影響 BIGLOBEセキュリティニュース/BIGLOBEウェブリブログ
文字サイズ:       閉じる