写真：Sharon Mollerus / CCBY2.0でライセンス供与
Logjamの概要
2015年5月20日、研究者チームは、WebサーバーがWebブラウザーへの安全な（HTTPS）接続を確立できるようにするプロトコルの新しい脆弱性を発表しました。このエクスプロイトをLogjamAttackと呼び、複数の大学やテクノロジー企業のコンピューター科学者とセキュリティスペシャリストのチームが、中間者攻撃者が脆弱なTLS接続をダウングレードして、「比較的簡単に」解読される暗号化暗号を使用する方法を示しました。 。この攻撃は、HTTPSプロトコルの実装を標的とする、FREAKやPOODLEなどの一連の暗号ダウングレード攻撃の最新のものです。
SSL/TLSの概要
この攻撃がどのように機能するかを理解するには、TLS（Transport Layer Security、ただしこのプロトコルは前任者の初期化であるSSL、Secure Sockets Layerによって参照されることが多い）がHTTPS接続をどのように保護するかを確認すると役立つ場合があります。 WebブラウザがHTTPS接続を介してWebページを要求すると、ホストサーバーは最初にそのIDを認証するための証明書を提供します。これは、公開鍵インフラストラクチャ内で非対称暗号化を使用します。認証されると、サーバーは、接続に使用する暗号スイートを介してクライアントブラウザとのネゴシエーションを開始します。ほとんどの場合、彼らは合意できる最も堅牢な暗号スイートを使用します。暗号化アルゴリズムを決定すると、Diffie-HellmanKeyExchangeと呼ばれるプロセスを介して共有秘密鍵をネゴシエートします。
ディフィーヘルマン鍵交換
Diffie-Hellman Key Exchangeを使用すると、安全でないメディアを介して、パーティ間で新しい共有キーを安全に生成できます。 Diffie-Hellmanグループのビット長が大きいほど、ブルートフォース攻撃によってクラックされる可能性が高くなります。 Logjamの脆弱性を発見した研究者は、州が後援するアクターがこの強さの暗号化を破る可能性があると考えていますが、1024ビットのグループが広く使用されています。 Logjamの脆弱性は、Diffie-Hellmanグループを512ビットグループにダウングレードすることを2つの当事者に強制することで悪用されます。これは、数分で解読される可能性があります。
私たちはどの程度心配すべきですか？
Logjamの脆弱性を悪用するには、攻撃者が中間者攻撃を仕掛ける必要があります。つまり、攻撃者は、クライアント、サーバー、またはその間のISPと同じネットワークにアクセスする必要があります。ほとんどの有線接続を含むこのアクセスは、通常、ほとんどの園芸品種のスヌーパーから遮断されています。オープンなパブリックWi-Fiアクセスポイントを介してインターネットにアクセスする場合、この脆弱性の悪用によるものであれ、他の多くの脆弱性によるものであれ、懸念の原因となる可能性があります。その場合、最善の策はVPNを利用することです（セキュリティが心配な場合は、いずれにしてもこれが賢明な戦略です）。
攻撃者がこのエクスプロイトを阻止できる場合、それは最初のステップにすぎません。それでも、攻撃者は、傍受されダウングレードされた暗号化トラフィックを正常に復号化するために、かなりの計算能力を備えたデバイスにアクセスする必要があります。そのため、実行するのが最も簡単なトリックではないため、多くのスリープオーバーを失う必要がある脆弱性ではない可能性があります。ただし、脆弱性は脆弱性であるため、パッチを適用するのが早ければ早いほど、心配することのリストからすぐに削除できます。
自分を守るためにすべきこと
この発見のニュースのリリースの時点で、Internet Explorerの最新バージョンのみがこのエクスプロイトにパッチされています（このチームの研究者の1人がMicrosoft Researchで働いていることに注意してください）。 Mozilla、Google、およびAppleは、それぞれのブラウザ、Firefox、Chrome、およびSafariのパッチに取り組んでいることを発表しました。これらのパッチがリリースされたら、ブラウザをこれらのバージョンに更新して、この脆弱性からの保護を有効にする必要があります。それまでの間、この種の攻撃にさらされることが心配な場合は、安全なブラウジングのためにIEに固執することをお勧めします。
Webサーバーまたは電子メールサーバーを管理しているとします。その場合、暗号スイートのエクスポートスイート（かつては米国外へのエクスポートが許可されていた唯一の暗号化技術であった古い、意図的に弱められた暗号）のリストを削除することで、脆弱性を軽減できます。このエクスプロイトを発見したグループは、既知のすべての暗号攻撃に対する回復力のために、優先暗号として楕円曲線ディフィーヘルマンエフェメラル（ECDHE）の使用も推奨しました。サーバーをテストし、これらの構成変更を行うためのガイダンスを入手できるサイトを参照してください。
Atlantic.NetのワールドクラスのVPSホスティングソリューションと技術スタッフは24時間体制で働き、お客様のデータが安全でプライベートであることを保証します。お気軽にスタッフにご連絡いただき、コミュニティやブログのページで最新情報を確認してください。
VPSホスティングサービスとVPSホスティング価格の詳細をご覧ください。