前回記事：『相次ぐSSL関連の脆弱性　その2 ～POODLE脆弱性とは～』では、POODLE（Padding Oracle On Downgraded Legacy Encryption）脆弱性とはどのようなものか、そしてどのような攻撃を受ける可能性があるかをご紹介しました。
今回はPOODLE脆弱性への対策についてご紹介します。

※12/7 編集部注：当記事の一部で不適切な表記がございました。該当箇所の修正を行い、再度更新しております。

POODLE脆弱性に対しどのような対策を行うべきか？

POODLE脆弱性が指摘されているSSL3.0や、実装が不十分なTLS1.0/1.1をそのまま使用していると、攻撃によって暗号化されている情報内容が解読され、情報が漏えいするリスクがあります。想定される被害としては、Webサイトを利用している際にトークンなどの認証情報が盗まれることなどがあげられます。

また、この脆弱性はプロトコル自体に脆弱性が存在するものであり、特定の製品やSSLサーバ証明書などに限って発生する問題ではありません。

そのため、POODLE脆弱性への対策は「脆弱なバージョンのSSL/TLSを無効化すること」が大きなポイントです。ベンダから提供されたパッチを適用することで、脆弱性への対処が可能となります。

また、主要ブラウザはすでにSSL3.0が無効になっています。最新バージョンへのアップグレードを行ってください。

Firefox	Ver34からデフォルトでSSL3.0が無効
Internet Explorer	2015年4月以降デフォルトで無効
Google Chrome	今年1月からデフォルトで無効 （Chrome 40）

対策ができているか確認する方法

POODLE脆弱性への対策ができているかどうかを確認するツールとして、グローバルサインではSSLの脆弱性を診断する無償ウェブサービス「SSL Server Test」を提供しております。このツールはSSLの研究を行ってる「Qualys SSL Labs社」が開発した評価システムを利用し、SSLサーバ証明書の設定状況の確認や安全性診断などを行なうことができます。

SSL Server Testにアクセスし、診断したいURLを入力

SSL Server Testにアクセスし、Domain nameの欄に診断したいURLを入力します。

診断結果を確認

診断結果はSummary(概要)、Authentication(証明書評価)、Configuration（各種設定）という項目別に表示されます。

Summary(概要)は、A( A+ 、A 、 A- ) … Fの8段階のグレードで表示され、もしもPOODLE脆弱性をはじめとする既知の脆弱性にさらされている場合には、Bランク以下と表示されます。

問題ないサイトの場合

脆弱性問題のあるサイトの場合

POODLE脆弱性と関連の深い項目

POODLE脆弱性と関連の深い項目はConfiguration（各種設定）の中のProtocolsです。この部分には評価の対象となるサーバで使用されている、SSL/TLS のプロトコルとバージョンが表示されます。もしも、SSL 3.0が有効となっている場合、「INSECURE (安全でない)」と表示され、またTLS1.2に対応していない場合は、オレンジ色の表示が行われます。

SSLサーバ証明書に問題は無し？使い続けて大丈夫？

POODLE脆弱性は、サーバの設定が脆弱な場合（SSL3.0や実装が不十分なTLS1.0/1.1の使用を許可している場合）に、その脆弱性を突かれる可能性があるというもので、SSLサーバ証明書に問題があるというわけではありません。

グローバルサインをはじめとする認証局のSSLサーバ証明書を使っている場合は、特にSSLサーバ証明書の再発行・更新・再インストールは不要です。逆に言えば、どの認証局のSSLサーバ証明書を利用している場合でも、サーバの設定が適切でなければPOODLE脆弱性の影響を受ける可能性があります。

また、署名アルゴリズムについても、より弱いSHA-1からより強固なSHA-2への移行が進んでいる時期でもあります。署名アルゴリズムが強固なSHA-2 SSLサーバ証明書を使用するほうが安心でしょう。

POODLE脆弱性を突く攻撃を行うにはいくつかの条件が必要であり、攻撃者にとって時間と労力がかかります。その間に適切な対策、つまり脆弱なプロトコルであるSSL3.0の無効化や脆弱性を指摘されている一部ネットワーク機器ベンダーのTLS1.xに対する修正パッチを充てるなど対策を行いましょう。