新たなTLSの脆弱性「Logjam」

HEARTBLEED, POODLE, FREAK と最近 SSL/TLS は次々と新しい脆弱性が見つかっていましたが、今度は TLS に Logjam という新たな脆弱性が見つかっています。詳細については論文にまとめられています^*1が、とりあえず以下のサイトを使うと脆弱性の影響を受けるかどうかの確認ができます。

• Logjam: PFS Deployment Guide

画像のように青いバーで Good News! This site uses strong (2048-bit or better) key exchange parameters and is safe from the Logjam attack. という文字が表示されれば、影響を受けることはありません。近々、主要なブラウザやサーバソフトウェアが更新されることになりそうですね。

TLSに新たな脆弱性「Logjam」、多数のサーバーや主要ブラウザーに影響 -INTERNET Watch

3月に発見された脆弱性「FREAK」と同様の問題だが、FREAKは実装の問題であったのに対し、LogjamはTLSプロトコル自体の脆弱性で、「DHE_EXPORT」をサポートしている多数のサーバーや、すべてのモダンブラウザーに影響があるとしている。研究者チームの調査によれば、HTTPS通信の上位100万ドメインのうち8.4％にこの脆弱性の影響があったという。

• ^*1: David Adrian, Karthikeyan Bhargavan, Zakir Durumeric, Pierrick Gaudry, Matthew Green, J. Alex Halderman, Nadia Heninger, Drew Springall, Emmanuel Thomé, Luke Valenta, "Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice, " weakdh.org, https://weakdh.org/imperfect-forward-secrecy.pdf, May 20, 2015 (accessed May 21, 2015).