SSLの脆弱性で日本の大手サイトを含む全世界1100万以上のHTTPSサイトが攻撃を受け得ると判明


SSL/TLSによって通信を暗号化しているHTTPSサイトに簡単に攻撃される脆弱性があることがセキュリティ研究者によって発表されました。この脆弱性をついた攻撃「DROWN」を受ける可能性があるサイトには、毎日新聞、任天堂、はてな、LINEなどの日本の大手サイトも含まれています。

DROWN: Breaking TLS using SSLv2.pdf
(PDFファイル)https://drownattack.com/drown-attack-paper.pdf

DROWN Attack
https://drownattack.com/

「Decrypting RSA with Obsolete and Weakened eNcryption(DROWN)」はSSLv2に含まれる脆弱性で、この脆弱性を悪用されるとクロスプロトコル攻撃によってTLSセッションの暗号化が解除(復号)されて通信が傍受される恐れがあるとのこと。暗号化されたSSL/TLS通信ではパスワードやクレジットカード番号などの情報がやりとりされるため、DROWN攻撃によって機密性の高い情報が流出する可能性があります。

TLSプロトコルが登場する前の1990年代に利用されていたSSLv2はすでに使用されることはほとんどありませんが、DROWN攻撃の厄介なところは、サーバがSSLからTLSに移行している場合であってもSSLv2をサポートする場合には攻撃を受けるところ。HTTPSサイト全体の17%がSSLv2をサポートするためDROWN攻撃の対象となります。


さらに、SSLv2をサポートしていないサーバであってもSSLv2をサポートするサーバと共通の秘密鍵を使っている場合には、暗号化が破られる可能性があるとのこと。秘密鍵を共有するサーバがある場合を考慮すると、実にHTTPSサイトの33%がDROWN攻撃の対象であることから、DROWN問題の深刻さが分かります。


ちなみに、トップ100万のドメインで25%、ブラウザに「信頼できる」と判定されるサイトで22%が、DROWN攻撃を受ける危険性があるとのこと。


DROWN攻撃の危険性を広めるために作られたサイト「DROWN Attack」は、サーバに脆弱性が含まれているかどうかを判断するツールを公開しています。方法は、以下のページ中段にあるテキストボックスにドメインまたはIPアドレスを入力して、「Check for DROWN vulnerability」をクリックすればOK。

DROWN Attack
https://drownattack.com/


なお、2016年3月1日時点での「DROWN攻撃対象のトップ10000サイト」のリストも公開されており、日本の毎日新聞、はてな、さくらインターネット、Excite、LINEなどの大手サイトが含まれています。

DROWN Attack - Vulnerable Popular Sites
https://drownattack.com/top-sites.html


すでにOpenSSLは最新版の1.0.2g、1.0.1sをリリースしてSSLv2プロトコルを無効化し輸出グレードのSSLv2も除外済み。なお、OpenSSLは、DROWN攻撃以外にもSSLv2には脆弱性が含まれているため使用しないよう注意勧告しています。

OpenSSL Security Advisory [1st March 2016]
https://www.openssl.org/news/secadv/20160301.txt

・関連記事
通信傍受や暗号化の未来は「暗闇の中」と多くの識者が意見を一致させる - GIGAZINE

世界のメールの暗号化はたった一人の男に依存しており、開発資金はゼロになってしまっているという衝撃の事実が判明 - GIGAZINE

Lenovo製PCに入っている極悪アドウェア「Superfish」はどれだけヤバイのか? - GIGAZINE

Dell製ノートPCが同一のルート証明書&秘密鍵を搭載していて中間者攻撃を受ける危険性あり - GIGAZINE

iOS端末の持ち主になりすまして攻撃できるクッキーの脆弱性が発覚、なんとAppleは2年半も放置 - GIGAZINE

Android 4.4以降搭載の端末66%がピンチに陥るLinuxカーネルのゼロデイ脆弱性が発見される - GIGAZINE

自称「サイバーセキュリティの生ける伝説」いわく「iPhoneの暗号化を無料で破る、Appleはバックドアなど作らなくてよい」 - GIGAZINE

GoogleやMozillaが中国の認証局が発行する証明書を「信頼できないもの」として失効させる - GIGAZINE

すべてのWindowsでリモート操作の脆弱性アリ、緊急アップデートプログラム「3079904」が公開される - GIGAZINE

305

in ソフトウェア,  セキュリティ, Posted by logv_to