コンテンツにスキップ
セキュリティ研究者は、インターネット上の通信を安全にするために使用される SSL (Secure Sockets Layer) 暗号化プロトコルを使用するソフトウェアに重大な欠陥があることを発見しました。
木曜日にラスベガスで開催されたブラックハットカンファレンスで、研究者らは、Webサイトとブラウザ間の安全なトラフィックを危険にさらすために使用できるいくつかの攻撃を公開した。
研究者らによると、この種の攻撃により、攻撃者はパスワードを盗んだり、オンラインバンキングのセッションを乗っ取ったり、さらには悪意のあるコードを含むFirefoxブラウザのアップデートを送りつけたりすることが可能になるという。
問題は、多くのブラウザが SSL を実装する方法と、Web サイトの信頼性を判断するために SSL が使用するデジタル証明書を管理する X.509 公開鍵インフラストラクチャ システムにあります。
Moxie Marlinspike氏と名乗るセキュリティ研究者が、ヌル終端証明書と呼ばれるものを用いてSSLトラフィックを傍受する方法を披露しました。この攻撃を成功させるには、Marlinspike氏はまず、このソフトウェアをローカルエリアネットワークにインストールする必要があります。インストールが完了すると、このソフトウェアはSSLトラフィックを検出し、ヌル終端証明書を提示してクライアントとサーバー間の通信を傍受します。このタイプの中間者攻撃は検知不可能だとMarlinspike氏は述べています。
マーリンスパイクの攻撃は、SQLインジェクション攻撃と呼ばれる別の一般的な攻撃と非常によく似ている。SQLインジェクション攻撃は、プログラムに細工したデータを送りつけ、本来実行すべきでない動作をさせようとする。マーリンスパイクは、自身のインターネットドメインにヌル文字（通常は
