POODLE 攻撃 (CVE-2014-3566)
POODLE 攻撃 (CVE-2014-3566) とは何ですか?
POODLE 攻撃 (CVE-2014-3566)2014 年に公表された SSL 3.0(および一部の欠陥のある TLS 実装)に対するパディングオラクル攻撃。中間者が HTTPS セッションの機微なバイトを復号できる。
POODLE(Padding Oracle On Downgraded Legacy Encryption)は、2014 年 10 月に Google 研究者が CVE-2014-3566 として公表しました。SSL 3.0 の CBC モードはパディングバイトを認証しないため、中間者攻撃で接続を SSL 3.0 にダウングレードできる攻撃者は、パディングが受理されるかどうかを観測することで、おおよそ 256 リクエストにつき 1 バイトの平文を推測できます。典型的なターゲットは Web Cookie です。関連派生 "POODLE on TLS" は SSLv3 のロジックを流用していた一部 TLS 実装にも影響しました。対策には、SSL 3.0 を全面無効化、強制ダウングレードを防ぐ TLS_FALLBACK_SCSV の有効化、AEAD を備える TLS 1.2/1.3 の優先、レガシー CBC サポートの除去が含まれます。
● 例
- 01
カフェ Wi-Fi 上の中間者がブラウザを SSL 3.0 にダウングレードさせ、セッション Cookie を盗む。
- 02
2014 年末、POODLE への対応として、Web サーバー・ブラウザ・CDN で SSL 3.0 が一斉に無効化された。
● よくある質問
POODLE 攻撃 (CVE-2014-3566) とは何ですか?
2014 年に公表された SSL 3.0(および一部の欠陥のある TLS 実装)に対するパディングオラクル攻撃。中間者が HTTPS セッションの機微なバイトを復号できる。 サイバーセキュリティの 脆弱性 カテゴリに属します。
POODLE 攻撃 (CVE-2014-3566) とはどういう意味ですか?
2014 年に公表された SSL 3.0(および一部の欠陥のある TLS 実装)に対するパディングオラクル攻撃。中間者が HTTPS セッションの機微なバイトを復号できる。
POODLE 攻撃 (CVE-2014-3566) からどのように防御しますか?
POODLE 攻撃 (CVE-2014-3566) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
POODLE 攻撃 (CVE-2014-3566) の別名は何ですか?
一般的な別名: CVE-2014-3566, SSL 3.0 パディングオラクル。