平成28年度秋期 情報処理安全確保支援士 午前Ⅱ 問3

午前II 問03：POODLE攻撃はSSL 3.0の“詰め物チェック”を狙う攻撃だよ

POODLE攻撃は、古い通信方式であるSSL 3.0のCBCモードで使われるパディング処理の弱点を悪用する攻撃だよ。パディングは、荷物を箱にきれいに詰めるための“すき間埋め”みたいなもの。このすき間埋めの扱いが甘いせいで、攻撃者が暗号化された通信の一部を少しずつ読み取れてしまうんだ。

この問題で問われていること

この問題では、POODLE攻撃が何を狙う攻撃なのかを見分けよう。HeartbleedはOpenSSLのメモリ情報漏えい、Diffie-Hellmanの弱鍵問題は鍵交換の弱さがテーマだよ。POODLEはそれらとは違って、SSL 3.0のCBCモードにおけるパディング処理の脆弱性を突く攻撃、と押さえよう。

POODLE の本質

攻撃者が通信を SSL 3.0 にダウングレードさせた上で、CBC のパディングオラクルを使って暗号文を少しずつ解読する。

SSL 3.0\nCBC モード\nパディング悪用\n-> 内容解読

確認ポイント

• サーバメモリから秘密鍵を読む攻撃ではありません。
• TLS 1.2 の Diffie-Hellman 弱鍵問題とも違う。
• SSL 3.0 の CBC パディング脆弱性を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これはHeartbleedっぽい説明で、サーバのメモリをのぞき見して秘密鍵などを盗む話だね。POODLEは「金庫の中を直接のぞく泥棒」ではなく、SSL 3.0の暗号文のすき間を悪用して通信内容を少しずつ探る攻撃だよ。

選択肢イ（正解）

これは正解だよ。POODLEは、SSL 3.0でブロック暗号のCBCモードを使うときのパディングの扱いの弱さを突く攻撃だよ。たとえるなら、封筒の中身は見えないけど、封の仕方の反応を何度も試して中身を少しずつ推測するようなイメージだね。

選択肢ウ

これは不正解だよ。POODLEでは、通信をTLSからSSL 3.0へフォールバックさせられることが攻撃の入口になる場合はあるけど、SSL 3.0は「TLSの旧バージョン」ではなく別系統の古いプロトコルだよ。また、弱点の本体はTLS 1.2の仕様ではなく、SSL 3.0でCBCモードを使うときのパディング処理にあるよ。

選択肢エ

これは不正解だよ。Diffie-Hellman鍵交換の弱点を突いて通信を解読する話は、Logjamなどに近い説明だね。POODLEは合鍵の作り方そのものを破るというより、SSL 3.0でCBCモードを使うときのパディング処理の弱さを利用する攻撃だよ。