【FREAK】ネットの暗号化プロトコルに「深刻な脆弱性」見つかる

1999年ごろまでアメリカ政府は強力な暗号化メカニズムを組み込んだハード、ソフトの輸出を安全保障上の理由から禁止していた。そこで輸出版製品には「弱い暗号」が用いられていた。当時はこの「弱い暗号」もスーパーコンピュータがなければ解読できなかった。しかし現在ではEd Feltenが指摘するように、Amazon EC2のアカウントさえあれば誰でも解読できてしまう。暗号システムに関する制限は1999年ごろに廃止された。ところが、どういうわけかこの「輸出版」の弱い暗号がGoogle、Appleその他オリジナルのOpenSSLを利用するデバイスに残存していた。要するに忘れられていたのだ。巧妙に仕組まれた「中間者攻撃（man-in-the-middle）を行うと、ハッカーはウェブサイトにこの「弱い暗号」を使うよう強制できる。ウェブサイトのトラフィックがひとたび「弱い暗号」に切り替われば、攻撃者はバスワー

[takehikom]

『RSA export cipher suites (e.g., TLS_RSA_EXPORT_WITH_DES40_CBC_SHA) をサポートしているサーバーを利用したサイトはすべて影響を受けるという』

[gcyn]

"【FREAK】ネットの暗号化プロトコルに「深刻な脆弱性」見つかる @HuffPostJapanさんから

[deep_one]

タイトルは間違い。プロトコルに「脆弱性」があったわけではない。文中の通り「弱い暗号」を使っているだけ。デフォルト設定が危険…ぐらいの話だな。SSL 3.0の話には似ている。