■FREAK Attack(CVE2015-0204)について EXPは輸出グレード暗号。 openssl ciphersのDEAFULTとapache2のssl.conf http://labunix.hateblo.jp/entry/20140211/1392048666 ■中間者攻撃手法が見つかったことで再注目されているらしい。 debパッケージの更新もaptによる更新もだいぶ前。 $ date --date "Wed, 31 Dec 2014 13:45:07 +0100" 2014年 12月 31日 水曜日 21:45:07 JST $ openssl version;dpkg -l openssl | awk '/^ii/ {print $3}' OpenSSL 1.0.1e 11 Feb 2013 1.0.1e-2+deb7u14 $ zcat /var/log/apt/history.log.[1-9].gz | \ grep "^Start\| openssl" | sed s/"), "/")\n"/g | grep "^Start\|openssl" | \ grep -B 1 "openssl" Start-Date: 2015-01-16 21:05:02 openssl:amd64 (1.0.1e-2+deb7u13, 1.0.1e-2+deb7u14) -- Start-Date: 2014-10-19 09:57:58 openssl:amd64 (1.0.1e-2+deb7u12, 1.0.1e-2+deb7u13) -- Start-Date: 2014-08-07 22:34:53 openssl:amd64 (1.0.1e-2+deb7u11, 1.0.1e-2+deb7u12) -- Start-Date: 2014-06-07 12:11:10 openssl:amd64 (1.0.1e-2+deb7u9, 1.0.1e-2+deb7u10) -- Start-Date: 2014-06-19 00:50:02 openssl:amd64 (1.0.1e-2+deb7u10, 1.0.1e-2+deb7u11) labunix@ibm-amddebian:~$ ■サーバについては広くサポートするかセキュリティを重視するかの 天秤にかけることはあるけれど、 EXPはデフォルトでは有効でもSSLv2やTLSv1(1.0)と共に無効にしてますよね。 $ openssl ciphers -V 'DEFAULT' | grep EXP | sed s/"^ *"//g 0x00,0x14 - EXP-EDH-RSA-DES-CBC-SHA SSLv3 Kx=DH(512) Au=RSA Enc=DES(40) Mac=SHA1 export 0x00,0x11 - EXP-EDH-DSS-DES-CBC-SHA SSLv3 Kx=DH(512) Au=DSS Enc=DES(40) Mac=SHA1 export 0x00,0x08 - EXP-DES-CBC-SHA SSLv3 Kx=RSA(512) Au=RSA Enc=DES(40) Mac=SHA1 export 0x00,0x06 - EXP-RC2-CBC-MD5 SSLv3 Kx=RSA(512) Au=RSA Enc=RC2(40) Mac=MD5 export 0x00,0x03 - EXP-RC4-MD5 SSLv3 Kx=RSA(512) Au=RSA Enc=RC4(40) Mac=MD5 export $ openssl ciphers -V 'HIGH:!MEDIUM:!aNULL:!MD5' | grep EXP $ sudo grep ^SSLCipherSuite /etc/apache2/mods-available/ssl.conf SSLCipherSuite HIGH:!MEDIUM:!aNULL:!MD5 ■クライアントは別なので、以下サイトでチェック。 https://freakattack.com/ 私の環境の場合はFirefox36.0で、プロキシの有/無共に問題無し。 w3mの場合はプロキシの有/無共に脆弱という結果。 プロキシの有無によって結果が異なる環境では無かった。 ■最近ではHeartbleedの件で、SSLv3を無効にしているサーバも増えていると思います。 暗号化アルゴリズムは扱う情報のセキュリティ確保が目的なので、 セキュリティが二の次にならないようにしたいですね。 「CVE-2014-0160.」の脆弱性の対処について(Debian Wheezy) http://labunix.hateblo.jp/entry/20140408/1396963029 「CVE-2014-0160」をnmapスクリプトを使ってローカル環境でテストする http://labunix.hateblo.jp/entry/20140412/1397296614