暗号を鍵無しで解読するパディングオラクル攻撃

暗号を鍵無しで解読するパディングオラクル攻撃
あるAnonymous Coward 曰く、 暗号を鍵を知らない状態で解読できるようになるというパディングオラクル攻撃が可能な脆弱性がASP.NET、Ruby on Rails、JSFなどのフレームワークで見つかっているとのこと(InfoQの記事、WatchGuardの記事)。検証ツールのPOET (Padding Oracle Exploitation Tool)も公開されている。 パディングオラクル攻撃はブロック暗号の解読エラーを利用するものである。適当な文字列を暗号文として送りつけ、パディングが不正な場合に起きる特殊なエラーもしくは処理されないという事実を利用して、その文字列が暗号文として適切かどうかを調べる。それを繰り返すことで、暗号化されたデータを鍵無しで解読できるようになるらしい。 ASP.NETではセッションクッキーの暗号化にこの脆弱性があったために、数百万のウェブアプリケーションに問題があったとのこと(threatpostのブログ記事)。現在は修正されている。 この攻撃を使ったApache MyFacesの暗号解読を行うデモやOSS CMSのDotNetNukeの完全アクセス権を奪うデモが公開されている。 すべて読む | セキュリティセクション | セキュリティ | ソフトウェア | 暗号 関連ストーリー： UMTS 3GとGSMの音声暗号、それぞれ解読・公開される 2010年01月27日 ソニーの非接触ICカード技術、FeliCaの暗号が破られたかも？ 2006年12月19日 OpenPGPに設計上の脆弱性 2005年02月11日
ttp://slashdot.jp/security/article.pl?sid=10/10/11/0148242
PICKUP
日本三名泉 下呂温泉

保護された家出少年

税理士選びのポイント【福岡】

高脂血症

顧問税理士をご紹介

ホンダ『ステップワゴン』の中古車査定や買取

秋田で引越しの準備 部屋選びの重要ポイント

○今日の運勢○を占います

過払い金を消費者金融に請求

借用詐欺/詐欺被害を防ぐ