SSLの深刻な脆弱性「FREAK」が明らかに--ウェブサイトの3分の1に影響か

1990年代の初めには名案のように感じられたのかもしれない。Secure-Socket Layer（SSL）という暗号化技術が産声を上げた当時、米国家安全保障局（NSA）は外国でやり取りされる「セキュア」なウェブトラフィックの内容を確実に傍受したいと考えていた。このためNSAは「Netscape Navigator」のインターナショナル版には40ビット暗号を使用し、より安全な128ビット暗号は米国版でのみ使用するようNetscapeを説き伏せた。その後、2000年1月に暗号輸出管理規則が改正され、どのようなブラウザでもよりセキュアなSSLを使用できるようになった。しかし、旧来のセキュアでないコードは、15年が経過した今でも使用されており、われわれに牙をむいてきている。 The Washington Postが米国時間3月3日に報じたところによると、スペインの研究グループであるIMDEA S

[reachout]

NSAがわざと解読されやすくSSLを設計した、というのはつまり自分らは復号してデータ盗聴する気満々でしたよってことだからな。情報機関らしくて良い。

[deep_one]

"-cipher EXPORT" ああ、このキーワードか。→apacheのmod_sslではキーワードはEXPだった。今は設定の初期値で無効化されている。相当古いサイトで設定の見直しがされていなかったものが対象か。

[ka_ko_com]

SSLの深刻な脆弱性FREAKか。 …… SSLの深刻な脆弱性「FREAK」が明らかに--ウェブサイトの3分の1に影響か

[wizmania]

SSLをわざと解読されやすいように作った―って、最悪だな。

[skam666]

“「ブラウザに対して輸出グレードの古い暗号を強制的に使用させたうえで、その暗号をほんの数時間で解読する」という攻撃手法”

[smbd]

そんなに？？

[JULY]

少なくとも手元の RHEL6 はセーフだった。PC 用ブラウザは基本的にセーフ。逆に、未だに export-grade が有効のサーバって何？ とか、なんでスマホのブラウザって、という感じ。

[wdr_s]

NSAひどいな…