POODLE脆弱性問題とは？

SSL 3.0における中間者による情報漏えいの脆弱性（CVE-2014-3556）。2014年10月に公表された。POODLEの名は「Padding Oracle On Downgraded Legacy Encryption」の頭字語で、この脆弱性を発表したGoogleの研究者のBodo Moller氏とThai Duong氏、Krzysztof Kotowicz氏が命名した。

ブラウザが暗号化を処理する仕組みに存在する脆弱性で、攻撃者がサーバで使用可能なプロトコルを検証するハンドシェイクプロセスを侵害して、SSL 3.0による通信を行うように仕向けることで、ブロック暗号の最後のパディングデータを改変することができ、データの漏洩を引き起こす。

1990年代に登場したSSL 3.0の暗号スイートの多くは、不安定なことや、鍵サイズの小ささ、バイアス（偏り）、単純にブラウザによるサポートが既に停止されたことなどから、既に利用されなくなっており、後継プロトコルであるTLSの新しいバージョンに取って代わられている。しかし、多くのTLSクライアントが、レガシーサーバと通信する際にプロトコルをSSL 3.0に切り替えることや、SSL 3.0はほとんどのウェブブラウザやウェブサーバでサポートされているため、その危険性が指摘されている。

POODLEによる攻撃には、SSL 3.0接続を確立する必要がある。したがって、ユーザーはクライアントプログラム、その典型としてウェブブラウザ、あるいはクライアントかサーバのいずれかでSSL 3.0を無効にすれば、この攻撃を回避することが可能だ。ただし、唯一の「暗号化」プロトコルがSSL 3.0である場合が問題である。Googleは、TLS_FALLBACK_SCSVをウェブまたはSSHサーバでサポートすることを推奨している。SSL 3.0への対応は打ち切りとなり、TLS 1.0以降への移行が望まれている。

SSL 3.0の脆弱性「POODLE」について知っておくべきこと

SSL 3.0の深刻な脆弱性「POODLE」が発見されたことを受けて、システムオペレーターやブラウザメーカー、ウェブサイトが対策に乗り出しており、同プロトコルのサポート廃止に拍車がかかっている。
サイバー攻撃情報漏えい Windows XPサポート終了

« 1 2

キーワードアクセスランキング

1 日本株展望
IT企業の戦略や業績、顧客動向はマクロとしての経済のゆくえに影響を受けざるを得ない。重要な指標の1つと言える日本株の指数の先行きについて解説...(続きを読む)
2 スプリント
アジャイル開発プロジェクト管理用語。イテレーションに似たスクラムベースのアジャイル開発方式(続きを読む)
3 AWS Summit
AWS SummitはAmazon Web Services（AWS）が世界20拠点で展開するツアー。 2017年、アマゾンウェブサービ...(続きを読む)
4 ユーザーストーリー
アジャイル開発におけるプロジェクトの要求事項のことだ。ユーザーストーリーは、特定の要求事項の「誰が」「何を」「どうして」という要素を定義する...(続きを読む)
5 制約条件
プロジェクト管理用語として使用する場合、プロジェクトチームの制御が及ばない制限のことを指す。これらは管理される必要があるが、必ずしも問題であ...(続きを読む)
6 リレーショナルデータベース（RDB）
すべてのデータを表（テーブル）形式（行と列）で表現するデータ管理方式を持つデータベース。（リレーショナルデータベースの）“リレーション”...(続きを読む)
7 de:code
日本マイクロソフトが開催する開発者向けの年次カンファレンス。4回目となる2017年は、5月23～24日の2日間にわたり開催され、AIやIoT...(続きを読む)
8 AWS re:Invent
Amazon Web Servicesの年次イベント。2017年は11月最終週から12月第一週にかけて米ラスベガスで開催され、「Kubern...(続きを読む)
9 サプライチェーンマネジメント（SCM）
原材料の供給から商品が顧客に販売されるまでのプロセス（サプライチェーン）を最適化し、経営効率を高めるための管理手法。またはそのための情報シス...(続きを読む)
10 データガバナンス
データの可用性、有用性、品質、完全性、安全性を担保するために定義された一連のデータ管理ポリシーおよび手法。...(続きを読む)

注目のキーワード

リードインベスター: 特定の資金調達ラウンドをまとめるベンチャーキャピタル企業または個人投資家。リードインベスターは通...; 続きを読む
CA World: Computer Associatesの年次イベント。2016年は米ラスベガスで開催し、5000人以上を集めた。基調講演に登...; 続きを読む
VMWorld: VMwareが例年8月に開催している年次カンファレンス。2017年は、前年秋に発表したAmazon Web Services（A...; 続きを読む
WebRTC: ブラウザ同士でリアルタイムに映像やデータを送受信する技術。; 続きを読む
ベンチャーキャピタリスト: ベンチャーキャピタル企業に勤める投資家で、特定の企業への投資を判断する。通常、ベンチャーキャピタ...; 続きを読む