TLS攻撃：BEAST、POODLE、ダウングレード

TLSへの攻撃は、プロトコルレベル（BEAST、POODLE、DROWN）、暗号技術レベル（RC4の偏り、Lucky13）、実装レベル（Heartbleed、BERserk）に分類できます。TLS 1.3は脆弱なアルゴリズムを削除することで、プロトコルレベルの攻撃を排除しています。

Browser Exploit Against SSL/TLSは、TLS 1.0のCBCモードを悪用します。TLS 1.0では、各レコードのIVが前のレコードの最後の暗号文ブロックになるため、IVを予測できます。攻撃者は選択した平文ブロックを注入し、選択境界攻撃によってセッションCookieを復元します。

対策は、TLS 1.1以降（レコードごとにランダムなIVを使用）を使うことです。または、CBCの代わりにRC4を使う方法もありますが、望ましいトレードオフではありません。現在の対策であるTLS 1.3はAEADのみを使用し、CBCを使いません。TLS 1.1が広く普及する前には、ブラウザーが1/n-1レコード分割によってBEASTを軽減していました。

Padding Oracle On Downgraded Legacy Encryptionは、SSL 3.0のCBCモードを攻撃します。SSL 3.0のパディングは完全性によって保護されないため、パディングオラクルが可能になります。攻撃者は接続失敗を利用してSSL 3.0へのダウングレードを強制し、その後、約256回のリクエストごとに1バイトを復号します。

SSL 3.0を完全に無効にしてください。TLS_FALLBACK_SCSV拡張は、意図的なダウングレードを示し、悪意のあるダウングレードを防ぎます。POODLEは、CBCパディングの構造を適切に無視するTLS実装にも当てはまります。

Decrypting RSA with Obsolete and Weakened eNcryptionは、サーバーがSSLv2を受け入れる別のサーバーとRSA鍵を共有している場合に発生します。SSLv2に対するBleichenbacher型のパディングオラクル攻撃によって、TLS 1.2のセッションを復号できます。HTTPSサーバーの33%が影響を受けました。

アクティブな攻撃者はパケットを破棄または破損させ、両方のエンドポイントに、より弱いプロトコルや暗号のネゴシエーションを強制できます。TLS_FALLBACK_SCSV（RFC 7507）は、クライアントがサポートするプロトコルの最大バージョンを示し、悪意のあるダウングレードを防ぎます。

CBCモードのTLSにおけるタイミングサイドチャネル攻撃です。MACの検証時間はパディングの長さによって変化します。攻撃者は応答時間を測定して、パディングが有効か無効かを判別し、ネットワーク越しにパディングオラクルを実現します。1バイトあたり約2^23回のオラクルクエリが必要です。

RC4は偏りのあるバイトを生成し、特に2バイト目は0に偏ります。ヘッダーが固定オフセットで繰り返されるTLSセッション（Cookieなど）では、約2^24個のサンプルによって平文を統計的に復元できます。RFC 7465（2015年）以降、TLSではRC4が禁止されています。

TLSプロトコルの欠陥ではなく、OpenSSLの実装バグです。Heartbeat拡張が、意図したバッファの範囲を最大64 KB超えて読み取り、サーバーのメモリから秘密鍵、セッショントークン、パスワードを漏えいさせました。安全なWebサーバーの17%が脆弱でした。

TLS 1.3は、CBC暗号、RC4、SSL 2.0/3.0、静的RSA鍵交換、圧縮を削除しています。ECDHEを必須とすることで、前方秘匿性を確保します。暗号スイートの一覧を絞り込むことで、既知のプロトコルレベル攻撃につながる攻撃対象領域を排除しています。

TLS 1.0のCBCモードで、予測可能なIVを悪用した攻撃はどれですか。

BEAST、POODLE、DROWN、Lucky13、RC4の偏りを利用した攻撃について学びました。TLS 1.3は、これらを可能にした条件を排除しています。次は、JWTの構造、署名、脆弱性を学びます。