「DROWN攻撃」の脆弱性が発覚、HTTPSサイトの33％に影響

攻撃を受ければ暗号を解除され、通信の内容を傍受される恐れがある。影響を受けるWebサイトには、日本の大手も含まれる。 インターネットの通信暗号化に使われるSSL/TLSプロトコルを使って通信を暗号化しているHTTPSサイトなどに深刻な脆弱性が発見された。研究チームはこの脆弱性を「DROWN」と命名し、3月1日に詳しい情報を公開。全HTTPSサイトの33％が影響を受けるとして、管理者に対応を急ぐよう呼び掛けている。 研究チームが専用サイトを通じて公開した情報によると、DROWN攻撃の脆弱性は、多くのサーバがTLSに移行しながら、設定ミスが原因で依然としてTLSの前身であるSSLv2もサポートしていることに起因する。 これまでは、SSLv2をサポートしているだけではセキュリティ問題が生じるとは考えられていなかったが、調査の結果、簡単に攻撃できてしまうことが判明し、サーバやクライアントが危険にさ

[IGA-OS]

割とWebサーバーについては影響範囲が広いな・・・。担当者はお早めに。まとまってたpiyologさん→ http://d.hatena.ne.jp/Kango/20160301/1456849603

[seculog]

Webサーバだけでなくメールサーバにも影響するので注意

[ockeghem]

『Webサーバと電子メールサーバで同じ証明書と鍵を使っていれば、Webサーバ側がSSLv2に対応していなくても、電子メールサーバがSSLv2に対応していれば、WebサーバのTLS接続が破られる可能性がある』

[daybeforeyesterday]

うーむ

[delphinus35]

はてなガー

[digitalglm]

「DROWN攻撃」の脆弱性が発覚、HTTPSサイトの33％に影響 - ITmedia エンタープライズ: 攻撃を受ければ暗号を解除され、通信の内容を傍受される恐れがある。影響を受けるWebサイトには、日本の大手も含まれる。…

[koyhoge]

SSLv2に対応したサーバでは中間者攻撃が可能。

[oooooo4150]

今時SSLv2/v3の設定なんぞ残してるほうが・・・/ "日本のWebサイトでは「line.me」「hatena.ne.jp」「nintendo.co.jp」などが挙がっている。"←おいっ！

[xxxxPexxxx]

影響範囲広そう！？ 「DROWN攻撃」の脆弱性が発覚、HTTPSサイトの33％に影響 - ITmedia エンタープライズ

[kizaki]

多くのサーバがTLSに移行しながら、設定ミスが原因で依然としてTLSの前身であるSSLv2もサポートしていることに起因する。