TLS に新たな欠陥：被害者になりすますことが可能に～研究者が暴いた、暗号化プロトコルを騙す方法――及び、それを修復する方法（The Register） | ScanNetSecurity

オンラインバンキングやオンラインショッピング、その他の慎重を要する接続を暗号化し、盗聴を阻止するために利用されている暗号化プロトコル TLS に対する新しいマンインザミドル攻撃を、セキュリティ研究者たちが開発した。 この「Triple Handshake」と呼ばれる攻撃は、特定の条件下において、「安全性の高い接続方法でサーバに接続するユーザー」の身元を確かめるのに不可欠な確認作業の裏をかくことができる。 言い換えるなら、悪質なシステムがユーザーのログイン認証情報（この場合はクライアント証明書）を傍受することにより、それと同じ認証情報を許可するあらゆるサーバで犠牲者になりすますことが可能となる。 この新たな欠陥は、フランス国立情報学自動制御研究所（INRIA）のセキュリティ研究者たちによって発見されたもので、この業界にいる彼らがこれまでの仕事から描き出したものだ。

[flatbird]

クライアント証明書ってオンラインバンキングとかで使ってるとこあるのかな？

[tmatsuu]

ほう。ざっと読んだ限り、主要なブラウザやライブラリは対応済の模様。