POODLE脆弱性問題
ブラウザが暗号化を処理する仕組みに存在する脆弱性で、攻撃者がサーバで使用可能なプロトコルを検証するハンドシェイクプロセスを侵害して、SSL 3.0による通信を行うように仕向けることで、ブロック暗号の最後のパディングデータを改変することができ、データの漏洩を引き起こす。
1990年代に登場したSSL 3.0の暗号スイートの多くは、不安定なことや、鍵サイズの小ささ、バイアス（偏り）、単純にブラウザによるサポートが既に停止されたことなどから、既に利用されなくなっており、後継プロトコルであるTLSの新しいバージョンに取って代わられている。しかし、多くのTLSクライアントが、レガシーサーバと通信する際にプロトコルをSSL 3.0に切り替えることや、SSL 3.0はほとんどのウェブブラウザやウェブサーバでサポートされているため、その危険性が指摘されている。
POODLEによる攻撃には、SSL 3.0接続を確立する必要がある。したがって、ユーザーはクライアントプログラム、その典型としてウェブブラウザ、あるいはクライアントかサーバのいずれかでSSL 3.0を無効にすれば、この攻撃を回避することが可能だ。ただし、唯一の「暗号化」プロトコルがSSL 3.0である場合が問題である。Googleは、TLS_FALLBACK_SCSVをウェブまたはSSHサーバでサポートすることを推奨している。SSL 3.0への対応は打ち切りとなり、TLS 1.0以降への移行が望まれている。
関連記事
-
Heartbleedと異なる傾向--2014年下期、「Shellshock」狙った攻撃が広範囲に
2014年9月後半～11月前半は、オープンソースのシェル「GNU Bash」に潜む脆弱性「Shellshock」を狙う攻撃が発生した。サーバに対してDDoS攻撃やスパムを送るボットを埋め込もうとする動きが確認された。
2015-03-05 19:42
-
“信用あるサービス”を悪用した攻撃を初確認--2014年は「POS脅威元年」
トレンドマイクロは、POSシステムを狙ったマルウェアの検出数が増加したことを受けて2014年は「POS脅威元年」と表現。サーバで活用されているOSSに深刻な脆弱性があったことにも注意を促している。
2015-02-27 18:27
-
脆弱性のあるサーバにパッチ適用は5割--「時間がかかる」のが課題
「脆弱性が確認された全サーバに対して更新プログラムを適用している」のは5割、残りの約半数は脆弱性の確認されたサーバに対する更新プログラムの対応が十分にできていない――。トレンドマイクロの調べで明らかになっている。
2014-12-25 17:45
-
米国時間12月9日のセキュリティ更新は、それ自体がさまざまな問題を修正するものだったが、Microsoftは同日に特定のプラットフォームを対象とした2件のセキュリティ更新の修正版も再配信し、Internet Explorerに新しいPOODLE脆弱性対策機能を追加した。このPOODLE対策機能の説明や実装方法について幾つかの矛盾点が浮上している。
2014-12-11 11:32
-
SSLv3脆弱性「POODLE」、TLSにも影響--グーグルの専門家が指摘
グーグルに所属するSSL専門家が、多くのTLS実装に対して警告を出した。SSLバージョン3に影響するPOODLE攻撃と同じような攻撃につながる脆弱性を含んでいるという。
2014-12-10 11:33
-
カスペルスキー、セキュリティ管理ツール提供--端末の脆弱性情報を収集
カスペルスキーは、セキュリティ管理ツール「Kaspersky Systems Management」の販売を開始した。Windows端末の脆弱性情報を収集し、パッチが必要な端末を特定し適用する。
2014-11-21 17:07
-
Google Chrome 39安定版、SSLv3フォールバックがデフォルトで無効に--POODLE脆弱性の対策で
グーグルは米国時間11月18日、ウェブブラウザの最新安定版「Google Chrome 39」（バージョン39.0.2171.65）を公開した。「Google Chrome」の最新版からは、安全性の低い旧バージョンのSSLを積極的に廃止し、使用されているバージョンに関するさらに詳しい情報を提供しようという同社の姿勢がうかがえる。
2014-11-20 09:21
-
グーグル、セキュリティテストツール「nogotofail」を公開--TLS/SSLの正しい実装を促進
グーグルは、よくある設定ミスや既知のバグによってHTTPS接続の安全性が損なわれることを防ぐためのセキュリティテストツールをリリースした。
2014-11-06 09:30
-
グーグル、「Chrome」でのSSL 3.0サポート無効化へ着々
6週間後にリリース予定の「Chrome 39」では、SSL 3.0フォールバック機能がデフォルトで無効になる。これは、ChromeブラウザでSSL 3.0のサポートを停止するというグーグルの計画の最初のステップとなる。
2014-10-31 10:18
-
マイクロソフトがSSL 3.0の脆弱性「POODLE」に対処するFix itを公開
マイクロソフトは、2014年10月に発見されたSSL 3.0の脆弱性「POODLE」に対処するFix itを公開した。
2014-10-30 10:58
キーワードアクセスランキング
-
Linuxとは、1991年にフィンランドのLinus Torvalds氏が開発した、UNIX互換のOSである。Linuxとはカーネル...(続きを読む)
-
「Platform as a Service」の略称。CPUやメモリといったハードウェアを仮想的なリソースとしてユーザーに割り当てることに加...(続きを読む)
-
プロバイダーのデータセンターを稼働させるという特別な目的のために設計され、インターネットやその他のネットワーク経由でユーザーが使用できるよう...(続きを読む)
-
「人工知能」が何なのかについての明確な定義は存在しない。人工知能学会のウェブサイトでも、人工知能の定義そのものが「議論の余地がある」とされて...(続きを読む)
-
プロジェクト管理用語として使用する場合、機能部門内のあなたが報告義務を負う人物を指す。通常、あなたの人事考課を行う人物がこれに該当する。プロ...(続きを読む)
-
「Software-Defined Networking」の略。ソフトウェアでネットワークの構成や機能などを定義しようとするコンセプトのこと...(続きを読む)
-
柔軟かつ俊敏にソフトウェアを開発する手法。2人1組でコードを書いていく「ペアプログラミング」、完成後のテストから手がける「テストファースト」...(続きを読む)
-
店舗とオンラインストアなど、あらゆる販売チャネルや流通チャネルを統合することを指す。このほかにも、消費者にはテレビ通販、カタログ、ソーシャル...(続きを読む)
-
「モジュール型」とも呼ばれる。従来のデータセンターは、まず建物を建築し、その中にサーバやネットワーク機器などのハードウェア、付随する空調機器...(続きを読む)
-
従業員の私物デバイスを業務でも利用するトレンドを「BYOD（Bring Your Own Device）」という。リサーチ会社のIDCはBY...(続きを読む)
