ツイキャス生放送「情報セキュリティCAS」で使用したスライドです。 放送の録画はこちら→ http://twitcasting.tv/it_mikawaya/movie/154571593

1. 情報セキュリティCAS
情報セキュリティについて
中年オヤジがグダグダ語るCAS

2. このCASでは…
その日のテーマに沿った質問を受け付けています！
取り上げて欲しいテーマの募集もしております！

3. 本日のテーマは…
FREAK脆弱性ってなんだろ？

4. 結論から申し上げると…
強度が弱い暗号化が使われてしまうため
通信が盗聴/改竄されるおそれがあります！

5. 何でこのテーマを選んだか？
• なんだかよく判らない脆弱性である
• でも相次いで各社が対応している

6. FREAK脆弱性とは？
強制的に強度の低い輸出グレードの暗号化を
使わせることができる脆弱性
復号可能なので通信の盗聴/改竄ができてしまう

7. 輸出グレードとは？
1990年代に米国政府の規制により
米国外への輸出用の暗号化ソフトの暗号化強度を
落とすよう義務づけていたことに由来する名称

8. 輸出グレードとは？
規制が撤廃された現在も
下位互換性を保つために残されていた

9. サーバー側の対策
輸出グレードの暗号化を使わないようにする
その他、弱い暗号化についても使わないようにする

10. クライアント側の対策
Windowsの場合
最新のIEを使用し3月の定例アップデートを適用する

11. クライアント側の対策
MacOSXの場合
最新のSafariを使用し
セキュリティアップデートを適用する

12. クライアント側の対策
Androidの場合
標準ブラウザを使用せずChrome41を使用する

13. クライアント側の対策
iOSの場合
iOS8.2にアップデートする

14. クライアント側の対策
Firefoxの場合
Firefox36を使用する

15. クライアント側の対策
Chromeの場合
Chrome41を使用する

16. ブラウザはここでチェック！
https://freakattack.com/
青バックに「Good News! Your browser appears to
be safe from the FREAK attack.」と出れば大丈夫

17. サーバーはここでチェック！
https://www.ssllabs.com/ssltest/
FREAK脆弱性以外もチェックされるので
Rating Aを目指してチューニングしましょう！

18. 何が問題になるのか？
通信の復号が可能
通信を盗聴されたり改竄されたりするので
MITM攻撃（中間者攻撃）が可能になる

19. 例えば…
• ユーザー名/パスワードを抜かれてしまう
• ポイントやマイルなどを使われてしまう
• 不正送金されてしまう
• その他の秘密の情報が漏れてしまう

20. 再び結論
強度が弱い暗号化が使われてしまうため
通信が盗聴/改竄されるおそれがあります！

21. と言うことで…
• ソフトウェアは最新にしましょう（またか！）
• サポートが切れたOSやブラウザは使わない
• サーバー側も必ず対策をしましょう

22. 今後の予定
• 第三八回＝WordPressは最低限コレはやっとけ！
• 第三九回＝あるサイトの改竄を連絡した結果…
• 第四十回＝パスワードを入力する時は背後に気をつけろ！
• 第四一回＝（タイトル未定）

23. 制作著作
「街のIT三河屋さん」合同会社くまさん
https://kumasanda.jp/
@it_mikawaya