TLSに脆弱性「Logjam」発覚、主要ブラウザやメールサーバに影響

通信の内容を暗号化するHTTPS接続に使われているTLSプロトコルに、また重大な脆弱性が見つかった。3月に発覚したSSL/TLS実装の脆弱性「FREAK」に似ているが、今回の脆弱性はTLS自体に存在し、主要なWebブラウザや電子メールサーバなどに広範な影響が及ぶという。 今回発覚した脆弱性は「Logjam」と命名され、解説サイトが公開された。それによると、TLSでセキュアな接続を確立するための暗号アリゴリズム「Diffie-Hellman（DH）鍵交換」に脆弱性がある。同アルゴリズムはHTTPS、SSH、IPsec、SMTPSなど多数のプロトコルに使われている。 この脆弱性を悪用された場合、通信に割り込む中間者攻撃を仕掛けてTLS接続を512ビットの輸出グレード暗号に格下げさせ、通信の内容を攻撃者が傍受したり改ざんしたりすることが可能とされる。 脆弱性は「DHE_EXPORT」の暗号スイー

[JULY]

まぁ、これはこれで修正していく必要があるんだけど、IIS が簡単な HTTP リクエストで BSOD になる CVE-2015-1635 の方がよっぽど恐ろしいのに、あまり盛り上がらないのはネーミングが無いため？

[deep_one]

新たな…という割にはまた「DHE_EXPORT」、輸出水準の暗号強度という奴か。全部NSAのせいだ（笑）／↓サービス拒否より情報窃盗の方が最終的にはよほどやばいです。損害賠償的にも。

[wasai]

またかよ、後で調べるか

[tneeds]

うーんこの

[tyru]

ブクマしてなかった

[an_old_pencil]

“DHE_EXPORTは1990年代の米国の輸出規制に準拠して暗号強度を弱めるためにSSL 3.0とTLS 1.0でサポート”

[daybeforeyesterday]

うーむ

[yhys07]

この間SSL3.0無効化するために大騒ぎしたばっかなんだがなぁ

[asuka0801]

また20年以上前の暗号アルゴリズムの問題か

[side_tana]

ざわっ……ざわっ……

[y-kawaz]

手持ちサーバチェックしたら大体OKだった。でもAWSのELBが1024-bit Diffie-HellmanだっていうWarning出たな…。

[sorshi]

“Logjam”

[moondoldo]

TLS 脆弱性

[a2ikm]

OSX版Chromeの43.0.2357.65に上げてもまだ脆弱性の警告が出るなあ。まだリリースされてないんだろうか。

[migrant777]

また輸出グレード暗号か・・・。

[T-miura]

嫌なもの見た…

[akuwano]

TLSに脆弱性「Logjam」発覚、主要ブラウザやメールサーバに影響 - ITmedia エンタープライズ

[launcher]

要調査か。

[sahiro316]

実装じゃなくてDHアルゴリズム自体の脆弱性ね……。/趣味のサーバーは"Cipher Suite"から"DHE_EXPOR"削れば済むけど、いろんなクライアントが接続してくることを想定している場合は、なあ。

[s_nagano]

またですか