ツイキャス生放送「情報セキュリティCAS」で使用したスライドです。 放送の録画はこちら→ http://twitcasting.tv/it_mikawaya/movie/111076324

1. 情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

2. このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

3. 本日のテーマは…
今話題のPOODLEって何なの？

4. 結論から申し上げると…
暗号化通信が解読される脆弱性
でも、ブラウザの設定サーバーの設定で回避できます

5. 何でこのテーマを選んだか？
• 危険性があるブラウザが多いけど話題になってない
• サーバー側での回避策もあるけど対応が進んでいない
• 実はメールでも危険性があるのに話題にならない

6. POODLEとは
通信の暗号化方式であるSSL/TSLの中の一つ
SSLv3に潜む脆弱性
!
暗号が中間者に解読されてしまう問題が！

7. POODLEとは
現在主流の方式はTSLというもので
実はSSLv3は使われていない（はず）
!
SSLv3にダウングレードさせることで使用を強制できる

8. なぜそんなことが起こるのか
• 標準設定でSSLを使わせることが可能なブラウザが多い
• ウェブサーバーの標準設定でSSLが使用可能になっている
• メールサーバーもメールクライアントも同様

9. なので…
通信の中間でTSLをせき止めると
自動的にSSLv3が使われてしまう
!
これがダウングレードという問題

10. 回避するにはどうしたら良い？
• ブラウザの設定を変えてSSLを使えなくしTSLを使わせる
• サーバーの設定を変えてSSLを使えなくしTSLを使わせる
• メールはメーラーに設定がないのでサーバー側で対応

11. 大手サイトも対応中

12. ブラウザの設定はどうすれば良い？
InternetExplorer、FireFox、Chromeについては
ネット上に情報があるので調べてください…m(__)m

13. サーバーの設定
ウェブサーバーのApache、nginx
メールサーバーのPostfix
についてはネット上に情報あります

14. メールが問題視されない理由
そもそもメールの場合
サーバー間の転送は平文で行われる
!
サーバー ⇄ クライアント間を対策しても意味が薄い

15. ただし…
ウェブサーバーとメールサーバーを同一サーバーで運用
かつ
CGIなどでウェブからメールを送信できる場合は
メールサーバーも対策必須！

16. もし古いシステムでSSLv3必須の場合
サーバー上で「TLS_FALLBACK_SCSV」を
適用してください
!
https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv-00

17. 再び結論
暗号化通信が解読される脆弱性
でも、ブラウザの設定サーバーの設定で回避できます

18. と言うことで…
• ブラウザではSSLv3を無効にする
• サーバーでもSSLv3を無効にする
• SSLv3を無効に出来ない場合はTLS_FALLBACK_SCSVを
適用する

19. 今後の予定
• 第二五回＝よく騒ぎになるIEって大丈夫なの？
• 第二六回＝危険なサイトには近寄らない
• 第二七回＝（タイトル未定）
• 第二八回＝（タイトル未定）

20. 次回は…
所用により
一週間開いて「2014年11月6日」の放送になります
来週はお休みを頂きますm(__)m

21. 制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya