セキュリティの現場から from バラクーダラボ(229) POODLE対策 - インターネット接続Webサービスへの迅速なパッチ適用

厄介な問題：長年放置されていた脆弱性が明るみに

SSLにおいて、仲介者攻撃（MITM）を可能にする脆弱性が発見されました。この脆弱性を悪用すれば、暗号化トラフィックを取得して平文（セッションCookieなど）を復元できるので、たとえばユーザの銀行取引セッションをハイジャックして振り込みを行うなどの攻撃が可能になります。

CVE-2014-3566（CVE ID）が割り当てられたこの脆弱性は、POODLE（Padding Oracle On Downgraded Legacy Encryption）と呼ばれています。攻撃者は、プロトコルバージョンレベルをダウングレードする「機能」を悪用し、セキュリティレベルの低い古いバージョン（この場合はSSL 3.0）を強制的に使用させます。

SSLv3の後継プロトコルであるTLS 1.0が1999年に登場してから、ほぼ15年が経過しています。TLS 1.0は1999年以来広く普及していますが、Windows XPのIE6など、一部の古いブラウザではデフォルトで無効化されています。したがって、このようなブラウザが主な攻撃対象となっています。

脆弱性の詳細については、さまざまなオンラインメディアで解説されているので、ここでは取り上げません。

異種混在のプラットフォーム上でさまざまなHTTPSサービスを実行している場合、ベンダの対応時間やユーザの変更管理プロセスによっては、パッチの適用までにかなり時間がかかることがあります。簡単に悪用できる脆弱性がインターネットに拡散し始めている状況では、パッチ適用にかかる時間が長くなるほどリスクも増大します。

有効な解決策

Barracuda Web Application Firewallを活用すれば、一括編集機能によって、すべてのHTTPSサービスをあっという間に保護できます。また、グラフィカルUIを使って、SSLプロトコルと暗号方式をきめ細かく制御することが可能です。構成ファイルやコマンドラインなど、複雑な設定は必要ありません。

まず、［基本設定］＞［サービス］ページにアクセスします。［サービス名］の左にあるチェックボックスで、HTTPSサービスをすべて選択します。［その他のアクション］ドロップダウンリストで［編集］をクリックします。すべてのサービスでSSL v3を無効にするオプションが表示されます。

サービスを1つだけ編集している場合、次のような画面が表示されます。サービスの一括編集は、その下のような画面が表示されます。