日本のセキュリティチーム : 2010年2月10日のセキュリティ情報 (月例)

　月例アップデートはともかく、最後にさらっと怖い項目があるな。

トランスポート層セキュリティ (TLS) および Secure Sockets Layer(SSL) プロトコルの脆弱性が確認され、Microsoftを含む多くのベンダーの製品にも影響があります。現在、業界全体で対応方法を検討しています。

　えーと、詳細は、これか。とりあえずエンドユーザー的には、「気をつける」以外の手はないのかな?

RFC 2246 で説明している TLS プロトコルは再ネゴシエーションの機能を説明しており、いずれかのピアにより、どの時点でも保護された接続のパラメーターを再ネゴシエーションできます。 このような接続における中間者攻撃 (Man-in-the-Middle Attack) である、DNS のなりすまし攻撃やローカル サブネット攻撃のような、別の攻撃を実行可能な攻撃者は、このような再ネゴシエーション機能を悪用して、有効な TLS セッションの構築のためにアプリケーションの特定のコマンドを付加する可能性があります。

特定のシナリオでは、サーバーは TLS/SSL の認証されたクライアントのコンテキストで、これらのコマンドを実行する可能性があります。Windows では、セキュリティで保護されたチャネル (Schannel) のセキュリティ パッケージで TLS および SSL を実装しています。