本当は怖いAES-GCMの話 - ぼちぼち日記

Disclaimer 本エントリーは、この夏 blackhat usa 2016で行われる予定の講演「NONCE-DISRESPECTING ADVERSARIES: PRACTICAL FORGERY ATTACKS ON GCM IN TLS」 のネタバレを含んでいます。現地で直接聞く方は読まないよう気をつけて下さい。 0. 短いまとめ 今回は短めにと思ったのですが、やっぱりそれなりの分量でした。なので短いまとめを書いておきます。 4千万以上のサイト対してAES-GCM使ったTLS通信の初期ベクトル(IV)データのサーベイが行われ、7万程のサイトでIVの値が再利用される可能性があることがわかりました。IVが再利用された場合、AES-GCMの安全性は致命的な影響を受けます。IVの再利用が判明した幾つか実装から既に脆弱性のアナウンスが出ています。 IVが再利用された場合、現実的にHTTPS

[castaneai]

“IVが再利用された場合、AES-GCMの安全性は致命的な影響を受けます。IVの再利用が判明した幾つか実装から既に脆弱性のアナウンスが出ています。”

[lambdalisue]

なるほどすごい

[kei2100]

iv nonce

[ytkibk]

“Nonce”

[Andrion]

国内勢で最強のまとめ。海外最新の情報も揃っていてむちゃくちゃ分かりやすい。

[kazuhooku]

すばらしくわかりやすい。GCMつーかストリーム暗号系はXORで改ざんできるのが…

[rochefort]

IVの再利用について

[mkusunok]

こりゃアカんやつだ。SSLアクセラレーターの実装までは、そうそう調べないからな。IVは再利用しないことが重要で予測可能であっても構わない。乱数よりもカウンタが良いのね

[houyhnhm]

ほむ。

[nekoruri]

Caviumの「やらかし」はともかく、Nonceの誕生日問題ってのは言われてみれば確かに、だなあ。予測されても良いが衝突は避けたい場合には乱数は避けた方が強くなるんだなあ。

[sett-4]

本当は怖いAES-GCMの話

[nari_ex]

知見だ