2013/10/22 Category : 未選択 NICT、SSLの脆弱性を検証するシステム「XPIA」を開発 SSLの脆弱性を検証するシステム「XPIA」を開発 ～RSA公開鍵に関する脆弱性の分布状況を分かり易く表示～ 【ポイント】 ■インターネット上での安全な通信を支えるSSLで使われているRSA公開鍵の脆弱性を検証 ■脆弱なSSLサーバの分布状況を把握 ■インターネット上での安全な通信を支えるSSLの信頼性向上に寄与 独立行政法人 情報通信研究機構（以下「NICT」、理事長：坂内正夫）は、インターネット上での安全な通信を支えるSecure Socket Layer（以下「SSL」）（＊１）の脆弱性を検証するシステムを構築しました。２０１２年、SSLに対する新しい脅威（＊２）が報告され、世界中のSSLサーバの０．４％に当たる２万台以上が危険な状態にあることが明らかになりましたが、今般、NICTでは、SSLサーバの上記の脆弱性を検証するシステム「XPIA（エクスピア）」（＊３）を開発し、現在危険な状態にあるSSLサーバの分布状況を把握することに成功しました。なお、本成果は、わが国の電子政府等において、暗号技術を安全に利用するための指針として活用される予定です。今後も、NICTでは、SSLに対する新しい脅威を解析していくほか、ネットワーク上での安全な通信を確保するための研究開発を進めていきます。 【背景】 SSLは、電子政府システムから、インターネットバンキング、オンラインショッピングなど国民生活の身近な所に至るまで、広く普及しているセキュリティシステムです。その一方でSSLの発展と普及に歩調を合わせるかのように、SSLに対する攻撃手法が日々進化し、巧妙化しています。２０１２年に、SSLで使われているRSA（＊４）公開鍵に対する新たな脅威が公開され、２万台にも及ぶSSLサーバが危険にさらされていることが報告されました。この新たな攻撃手法による実際の脅威がどのようなものか、どのSSLサーバが危険な状態にあるかなど、報告されたセキュリティ上の脅威について、その実態を把握することが喫緊の課題となっていました。 【今回の成果】 このたびNICTは、SSLの脆弱性を検証するシステム「XPIA（エクスピア）」を開発しました。これは、インターネット上で公開されているSSLサーバの公開鍵証明書について、そのセキュリティ上の脆弱性を検証するシステムです。本システムにより、SSLサーバで用いられている公開鍵証明書の脆弱性を速やかに検証できるとともに、脆弱なSSLサーバを特定することができます。 今回、XPIAを用いてSSLサーバから収集した公開鍵証明書から抽出したRSA公開鍵の脆弱性を検証したところ、少なくとも世界中で２，６００台を超えるSSLサーバが脆弱な公開鍵を現時点でも利用していることが分かりましたが、本調査の範囲内では、脆弱な公開鍵を使用しているインターネットバンキングやオンラインショッピングなどのサービスサイトは見つかりませんでした。 ※参考画像は、添付の関連資料を参照 【今後の展望】 今回の成果により、SSLに対する新たな攻撃手法による実際の脅威を把握できただけではなく、この問題の根本原因であるRSAの公開鍵を含む、鍵生成方法等における実利用において諸課題があることが分かりました。NICTでは本システムを活用してSSLに対する新しい脅威を解析していくほか、RSAの公開鍵の生成法等、ネットワーク上での安全な通信を確保するための研究開発を進めてまいります。なお、本成果は、わが国の電子政府等において、暗号技術を安全に利用するための指針として活用される予定です。 PR Comment0 Comment Comment Form お名前name タイトルtitle メールアドレスmail address URLurl コメントcomment パスワードpassword
