脆弱性「DROWN」、非推奨のSSLv2に存在することが確認される。|脆弱性「DROWN」、非推奨のSSLv2に存在することが確認される。1日(米国時間)、インターネット上の通信暗号化プロトコル「SSL/TLS」を用いて暗号化する「HTTPS」や他のサービスに影響を与える深刻な脆弱性が新たに確認されました。Layer(SSL)」のバージョン2.0(SSLv2)に存在します。攻撃者は、この脆弱性により、安全なはずの通信から情報を傍受したり収集することが可能となります。現時点では、実際の攻撃は確認されていません。複数の問題について、以下の脆弱性識別子が割り当てられています。2月以来、非推奨のプロトコルとみなされており、いかなる本番環境でもこの通信暗号化プロトコル使用は回避すべきです。多くのサーバ上でいまだ長らくサポートされています。サーバ管理者は、より多くのユーザが自身のサービスを確実に使用できるように、つまり、自身のサーバへ確実に接続できることを考慮しているからです。SSLv2接続を複数接続する方法を備えておく必要があります。SSLv2接続を複数する場合、サーバ上のセッション鍵を特定するために総当り攻撃を仕掛けることが可能となります。してセッション鍵が確認されると、傍受したトラフィックは該当のセッション鍵が利用されている間、復号されることとなります。DROWN攻撃による脆弱性を抱えることになります。SSLv2接続をサポートしています。そのため、中間者攻撃が実行される恐れがある場合、攻撃者は、SSLv2接続を悪用してサーバを綿密に調査し、セッション鍵を探しだし、TLSトラフィックを復号することが可能となります。SSLv2通信を送信しません。危険にさらされていることになります。有無を確認するスキャナーを公開しています。SSLv2接続リクエストを送信し、サーバの応答を待機します。これにより脆弱性が実際に利用されることはありません。今回の脆弱性の修正方法は比較的簡単です。不使用を徹底的してください。今回問題となった脆弱性が存在し、長らく非推奨となっていることを看過してはいけません。サーバの公開鍵の使い回しはせず、各用途に合わせ作成することをお勧め致します。各バージョンにおける更新バージョンについては以下をご参照ください。ディープセキュリティ)」をご利用のお客様は、以下のフィルタを適用することにより、問題の脆弱性を利用した攻撃から保護されます。suites」をいまだ使用している場合はなおさらです。以下のフィルタを適用することにより、問題の脆弱性を利用した攻撃からの危険を軽減あるいは、保護されます。posts:脆弱性「Heartbleed」を抱えるWebサイト、3分の2が対応済み「Cryptography(暗号技術)」の現状について考える(前編):その脆弱さとHeartbleed脆弱性SSL/TLS通信時の脆弱性「FREAK」、その影響度は?「Nitro」攻撃とJavaの脆弱性の関連とは。