SSL 3.0の脆弱性に関する基礎知識
| マイクロソフトは、SSL 3.0 に存在する脆弱性を悪用する新しい方法を説明した詳細な情報が公開されたことを確認しています。 これは、SSL 3.0 プロトコル自体に影響を及ぼす脆弱性で、業界全体に関連します。 Windows オペレーティング システムに固有のものではありません。 サポートされているすべてのバージョンの Microsoft Windows はこのプロトコルを実装しており、この脆弱性の影響を受けます。マイクロソフトは、報告された脆弱性を悪用しようとする攻撃を現時点で確認していません。 攻撃のシナリオを考慮すると、これはお客様にとって高い危険性のある脆弱性であるとは考えられません。 マイクロソフトは、パートナーがお客様にさらに幅広い保護を提供するために使用できる情報を提供すべく、Microsoft Active Protections Program (MAPP) (英語情報) で積極的にパートナーと連携しています。 この調査が完了次第、マイクロソフトはお客様を保護するための適切な措置を講じる予定です。 これには、マイクロソフトの月例のセキュリティ更新プログラムのリリースプロセスの提供を含み、またはお客様のニーズにより、定例外のセキュリティ更新プログラムを提供する場合があります。 問題を緩和する要素:攻撃者が攻撃を行うには、数百もの HTTPS リクエストを行う必要があります。 TLS 1.0、TLS 1.1、TLS 1.2、および CBC モードを使用しないすべての暗号は影響を受けません。 推奨する対応策:詳細情報は、このセキュリティ アドバイザリの「推奨するアクション」の欄を参照してください。 |
SSL 3.0に深刻な脆弱性「POODLE」見つかる Googleが対策を説明 - ITmedia ニュース
SSL 3.0に脆弱性が見つかったので、Windows 2000 / XP なども個別対応する必要があります。
Q１．SSL3.0を無効にして、TLS を有効にした場合、SSL使えないんじゃない？
A. SSL 3.0 と
TLS1.0 が提供する機能はほぼ同じです。 TLS の内部バージョンは SSL 3.1 になっているので上位互換と考えてもいいでしょう。
ちなみに、TLS1.1 は内部 SSL 3.2 / TSL1.2 は内部 SSL 3.3 となっています。
Q2．SSL3.0を無効にして、SSL2.0 を有効にするのはどうなの？
SSL2.0は数年前に脆弱性が見つかっており、既に非推奨になっています。使わないでください。
Q3. Windows 2000/XP ユーザーはどうすればいいの？
Firefox などの対応ブラウザの最新版を使うか、IEのSSL 2.0/3.0のチェックを外して TLS 1.0のチェックを入れます。Windows 7以降ならば TLS 1.1/1.2 にもチェックを入れます。
Q4. TLS 1.1以降が無いよ！
A4. TLS 1.1は Windows 7以降の対応です。Vista 以前はIEの上では非対応です。Windows 95などでも、OpenSSLなどのサードパーティー製ソフトを利用すると使うことができます。
Q5. ほかのアプリは設定しなくてもいいの？
A5. Javaやサードパーティのブラウザでは個別に設定が必要です。
Java
lolifox / firefox 3.x
Opera 12.x
Q6. 全てのバージョンのWindows ってどこまでなの？
A6. インターネットに接続できる。Windows 3.1 以降全てです。
IE3以前のブラウザには TLS 1.0が実装されていないので対応不可能です。
また、Netscape 6.1 Preview Release 1, または Mozilla 0.9.1 以前のバージョンもTLS1.0が実装されていません。
Q7. TLS 1.0にしても、BREAST 対策してないブラウザは危険じゃないの？
A7. その通りCVE-2011-3389の影響を受けます。Firefox の場合は Firefox 10以降、または、 IEでTLS1.0を 使う場合 MS12-006 が適用されている必要があります
Windows 2000 魔改造版はMS12-006が適用済みです
参考：
Transport Layer Security - Wikipedia
SslProtocols 列挙体 (System.Security.Authentication)
Translate
OpenSSLのv0.9.8zcが公開されたそうです。
黒翼猫さんのWin95対応版、期待しています。
BEAST (TLS 1.0も攻撃可能)の対策が入ってないと、SSL 3.0を無効にしてもほぼ無意味だと思います。FirefoxにBEAST対策が入ったのはバージョン9ですから、それ以前のバージョンやMozilla SuiteやNetscape 6は(他のセキュリティホールを無視したとしても)そもそも安全に使うことはできません。
ありがとうございます。情報追加しました。
CVE-2011-3389はFirefox 9では無効化されて1バージョン投入が遅れたのを失念していたのですが、ちゃんと調べていただいたようでありがとうございます。
Win98初期状態のIE4とIE4SP2をインストールした状態とその上に高度暗号化パックをインストールした状態で確認したのですが、いずれもインターネットオプションの詳細設定にはPCT 1.0/SSL 2.0/SSL 3.0しか出てきませんでした。IE4でTLS 1.0はどうすれば使えるのでしょうか。
IE4のＴＬSはＳＧＣという派生形式での実装になります
詳しくは
http://support.microsoft.com/kb/194889/ をご覧ください
Amazonにて、これが発生したの何だののメッセージが載っていて買い物やアカウントが出来ない開けないです。解決策って無いんですか。無料だから良かったものの、会員だったらヤバかったです･･･
どうにかならないのか･･･
対策はこのページに書いてるのですが・ω・；