2014/10/16
11:44
Tag: 
SSL 3.0に脆弱性”POODLE：Padding Oracle On Downgraded Legacy Encryption”が発見され、Googleからアナウンスされています。
- This POODLE bites: exploiting the SSL 3.0 fallback - Google Online Security Blog
Microsoftのセキュリティアドバイザリに内容が詳しくまとめられているので、転載して紹介します。
- マイクロソフト セキュリティ アドバイザリ 3009008 - Microsoft セキュリティ TechCenter
１．内容
攻撃者が暗号化されたTLSセッションをダウングレードし、クライアントにSSL 3.0を使用させ、さらにブラウザーに悪意のあるコードを実行させる可能性があります。このコードはターゲットのHTTPS Webサイトにいくつかのリクエストを送信し、そのWebサイトで以前認証されたセッションが存在する場合には自動的にCookieが送信されます。この脆弱性が悪用されるには、これが攻撃者にとっての必要条件となります。攻撃者は、このHTTPSトラフィックを傍受し、SSL 3.0のCBCブロック暗号の弱点を利用して、暗号化されたトラフィックの一部 (認証Cookieなど) を解読する可能性があります。
マイクロソフト セキュリティ アドバイザリより
２．危険度
マイクロソフトは、報告された脆弱性を悪用しようとする攻撃を現時点で確認していません。攻撃のシナリオを考慮すると、これはお客様にとって高い危険性のある脆弱性であるとは考えられません。
マイクロソフト セキュリティ アドバイザリより
３．対策
- サーバー側：SSL 3.0を無効化する
- クライアント側：SSL 3.0を無効化する
４．SSL 3.0無効化方法
Internet Explorer
グループ ポリシーで SSL 3.0 を無効にして、TLS 1.0、TLS 1.1、および TLS 1.2 を有効にする
- グループ ポリシー管理を開きます。
- 変更するグループ ポリシー オブジェクトを選択し、右クリックして、[編集] を選択します。
- グループ ポリシー管理エディターで、次の設定を参照します。
→[コンピューターの構成] -> [管理テンプレート] -> [Windows コンポーネント] -> [Internet Explorer] -> [インターネット コントロール パネル] -> [詳細設定] ページ -> [暗号化サポートを無効にする]- [暗号化サポートを無効にする] 設定をダブルクリックして設定を編集します。
- [有効] をクリックします。
- [オプション] ウィンドウで、[安全なプロトコルの組み合わせ] 設定を [TLS 1.0、TLS 1.1、および TLS 1.2 を使用] に変更します。
- [OK] をクリックします。
Internet Explorer で SSL 3.0 を無効にして、TLS 1.0、TLS 1.1、および TLS 1.2 を有効にする
- Internet Explorer の [ツール] メニューの [インターネット オプション] をクリックします。
- [インターネット オプション] ダイアログ ボックスの [詳細設定] タブをクリックします。
- [セキュリティ] カテゴリで、[SSL 3.0 を使用する] チェック ボックスをオフにし、[TLS 1.0 を使用する]、[TLS 1.1 の使用]、および [TLS 1.2 の使用] チェック ボックスをオンにします (使用可能な場合)。
- [OK] をクリックします。
- 終了し、Internet Explorer を再起動します。
Google Chrome
- 既に、TLSセッションを失敗させ、SSL3.0にダウングレードさせる攻撃を防ぐ仕組み”TLS_FALLBACK_SCSV”を2月から採用済み
- SSL 3.0を無効化する場合は、ショートカットのリンク先に”--incognito --ssl-version-min=tls1”のおまじないを入力
※SSL 3.0を無効化すると、SSL 3.0しかサポートしていないサーバーにはアクセスできなくなります。対応を待ちましょう。
