Microsoft PowerPoint - janog39.5_afterJanog39-suga

Transcription

1 JANOG 39.5 Interim meeting, April 14th, 2017 JANOG39 で話した後, 某業界のログインサイトに特化して再調査してみたら ( 表 ) 事前公開資料 セキュリティ本部セキュリティ情報統括室須賀祐治 Internet Initiative Japan Inc. 1

2 自己紹介 TLS を愛し TLS に愛された男 2017 Internet Initiative Japan Inc. 2

3 FREAK attack 概要 JANOG39 発表資料再掲 CVE 年日本時間 3 月 3 日にサイト公開 ( 再認識 ) 脆弱なバージョン : 2015 年 1 月の Update で修正済 クライアント 各系列 1.0.1j 以下,1.0.0o 以下,0.9.8zd 以下 問題 : クライアントの指定した CipherSuites ではなく Export-grade( 輸出可能な弱い ) 暗号を意図せず利用されてしまう 2017 Internet Initiative Japan Inc. 3

4 JANOG39 発表資料再掲 DROWN attack (2016 年 3 月 ) そもそも SSLv2 や Export-grade の暗号アルゴリズムの利用は危険であるという認識 今回, 現在安全と認識されている 128 ビット以上の鍵長を持つ共通鍵暗号アルゴリズムを用いて暗号化した場合でも解読可能 攻撃条件 中間者攻撃が可能な環境であること ( 攻撃対象となる暗号化通信を観測できること ) その暗号化通信に用いられた RSA 鍵ペアを利用して運用されており かつ SSL2.0 が利用可能な SSL サーバにアクセスできること 2017 Internet Initiative Japan Inc. 4

5 JANOG39 発表資料再掲 JANOG39 でのざっくりした前半サーマリ ( 小難しいこと考えなければこんな感じ ) どうせ SSL2.0 使ってたって 40 ビット暗号使ってたって, 最新のブラウザにしとけば, そんな危ないの選択されることないし大丈夫っしょ! もはや SSL/TLS サーバはその組織体の 顔 なんだから, キレイにしときなよ. 減るもんじゃないし. ただし SSL3.0 は微妙 Internet Initiative Japan Inc. 5

6 こんな再調査 しなければよかった 2017 Internet Initiative Japan Inc. 6

7 全銀協正会員 120 社の調査 JANOG39 発表資料再掲 Internet Initiative Japan Inc. 7

8 インディケータの違い (EV 証明書利用時 ) Chrome 57 Firefox 52 IE 10 MS Edge Internet Initiative Japan Inc. 8

9 JANOG39 発表資料再掲 具体的事例紹介 EVSSL2 証明書 EVSSL 証明書が配備されていながら SSL2 が有効になっているサイトがある リダイレクト残念系 HTTP HTTPS にリダイレクトされるんだけどブラウザではグリーンバーになってない 検索窓問題 ブラウザ側の ( 独自 ) 解釈でグリーンバーになってない 2017 Internet Initiative Japan Inc. 9

10 JANOG39 発表資料再掲 サーバ証明書発行時の確認レベル OV,DV では登記事項証明書との突き合わせをやることでリアルな 実在性 も確認. 加えて電話等で申請の意思確認も. IIJ, IIRvol.30, Let s Encryptプロジェクトと証明書自動発行のための ACMEプロトコル Internet Initiative Japan Inc. 10

11 この EVSSL 証明書は泣いている 2017 Internet Initiative Japan Inc. 11

12 EV 証明書だけど Mixed Contents エラー 組織名称 Chrome 57 Firefox 52 組織名称 IE 10 組織名称 MS Edge Internet Initiative Japan Inc. 12

13 Chrome のインディケータ表記ポリシー 組織名称保護された通信 (EV 証明書利用時 ) Internet Initiative Japan Inc. 13

14 JANOG 発表後のコメント 常時 TLS 化を意図していないサイトの評価はフェアではないのではないか? ユーザログインサイトに特化して再調査 2017 Internet Initiative Japan Inc. 14

15 ログインサイトの調査対象 母数は同じだけど, アウトソーシングサービスを利用しているため, サイト数は 58 に減少 独自にそのドメインで準備 47 関連グループでまとめてる 1 ( 3 サイト ) アウトソーシング A 社 1 ( x サイト ) アウトソーシング B 社 2 ( y サイト ) アウトソーシング C 社 1 ( 2 サイト ) アウトソーシング D 社 6 ( 6 サイト ) 2017 Internet Initiative Japan Inc. 15

16 SSL/TLS バージョン対応状況 JANOG39 直後のクロール結果 Alexa Top sites 件 Alexa 一般から.jp 抽出 某業界の一般サイト 某業界のログインサイト 8 サイト 18 サイト 39 サイト &item_id=177806&item_no=1&page_id=13&block_id= Internet Initiative Japan Inc. 16

17 SSL/TLS バージョン対応状況 + 昨日 (2017 年 4 月 13 日 ) のクロール結果 Alexa Top sites 件 Alexa 一般から.jp 抽出 某業界の一般サイト 某業界のログインサイト 8 サイト 3 サイト 18 サイト 25 サイト 39 サイト &item_id=177806&item_no=1&page_id=13&block_id= Internet Initiative Japan Inc. 17

18 HTTP でパスワード入力問題 1 サイトのみ HTTP でパスワード入力の問題 ( 結局は HTTPS サイトに流れるんだが ) 参考 : 安全なウェブサイトの作り方改訂第 7 版 Internet Initiative Japan Inc. 18

19 検索窓問題について 58 サイトすべてで Mixed Contents エラー無し しかし新たな問題を見つけてしまう 検索窓問題は 2 段階下がる 2017 Internet Initiative Japan Inc. 19

20 検索窓問題について 58 サイトすべてで Mixed Contents エラー無し しかし新たな問題を見つけてしまう 今回の問題は 1 段階だけど EVSSL 証明書は泣いているはず 検索窓問題は 2 段階下がる 2017 Internet Initiative Japan Inc. 20

21 EV 証明書利用に関して 58 サイトすべてで EV 証明書を利用 シェアは右の通り この新たな問題は非公開ではない & ここで起きてる 今 (13:30) も精査中なので間に合うように頑張る 2017 Internet Initiative Japan Inc. 21

22 お問い合わせ先 IIJ インフォメーションセンター TEL: (9:30~17:30 土 / 日 / 祝日除く ) info@iij.ad.jp Internet Initiative Japan Inc. 22