NICT、SSLサーバーの脆弱性を検証するシステム「XPIA」を開発

情報通信研究機構(NICT)は10月22日、インターネット上で広く使用されている暗号化通信規格「SSL」の脆弱性を検証するシステム「XPIA」を開発したことを発表した。

昨年、SSLに対する新しい脅威が報告されたことで、世界中のSSLサーバーの0.4%にあたる2万台以上が危険な状態にあることが分かり、大きな注目を集めた。

SSLでは、通信相手のサーバーが本物かどうかを確認する際などに、暗号化と復号に秘密鍵と公開鍵の鍵ペアを利用する暗号方式であるRSAを利用している。昨年、このRSAの鍵を生成する際に利用する乱数の偏りなどが原因で、同じ秘密鍵(素数)を含む公開鍵が多数生成され、SSLサーバー証明書に組み込まれて利用されていることが明らかになった。2つのRSA公開鍵に同じ秘密鍵が含まれていた場合、最大公約数を求めることで簡単にその秘密鍵が暴かれ、SSLサーバー証明書の偽造などが可能となってしまう。

この報告以来、セキュリティ上の脅威について、どのSSLサーバーが危険な状態にあるかなど、実態を把握することが急がれていた。

このほどNICTが開発したXPIAは、インターネット上で公開されているSSLサーバーの公開鍵証明書を検証するシステムで、脆弱な状態にあるSSLサーバーを特定することができる。

NICTによると、XPIAを用いた脆弱性検証の結果、現時点で少なくとも世界の2600台を超えるSSLサーバーが、脆弱な公開鍵を利用していることが分かった。なお、インターネットバンキングやオンラインショッピングなどのサービスサイトにおいては、脆弱な公開鍵を使用しているSSLサーバーは見つからなかったという。