今週気になったTLS関連のニュース

先週に続き、2022年6月20日~6月26日に読んだ中で気になったニュースとメモ書き(TLSらじお第62回の前半用原稿)です。

 

 

[EdDSA Double-PubKey Oracle攻撃]

こちらのツイートから。

ニュースのもとはこちら。

www.reddit.com

blog.safeheron.com

 

EdDSA Double-PubKey Oracle攻撃というのがあるらしい。EdDSAの実装の一つ、Ed25519のライブラリで、署名API秘密鍵の代わりに公開鍵を利用できてしまうことにより、対応する秘密鍵を抜き出せてしまう、とのこと。

 

Ed25519はTLSでも利用可能なようだ。

datatracker.ietf.org

 

計算過程があまり理解できていないが、全然関係のない2つの公開鍵と同じ平文から秘密鍵の一部が抽出できるということは、TLSの鍵交換のときのデータを記録しておけば、プリマスターシークレットを後から盗み見ることができたりするのだろうか...?

記事中ではブロックチェーンの話が多く、TLSへの影響が言及されているのを見つけられなかった。

 

[CertigoとTlsx]

こちらのツイートから。

リポジトリはこちら。

github.com

 

Goでできてるっぽい。STARTTLSのデバッグができるのは便利かも(前にメールサーバとの通信で困った記憶が)。

 

certigo connectコマンドについては、opensslでも似たようなことはできるけど、出力結果はこっちの方がわかりやすいかも。

 

こんなツイートも。

リポジトリはこちら。

github.com

 

証明書の有効期限切れとかをサクッと表示できるのでその辺は良さそう。

 

[その他のニュース]

▼e-GovのTLSプロトコル

こちらのツイートから。

SSL Labsで確かめてみる。結果はBランク。やはりTLS1.0を喋っているのがマズそう。

www.ssllabs.com

 

楕円曲線証明書を使っていたり、HSTSが有効になっていたりする辺りは良さそうなのになあ。証明書の有効期間が10ヶ月くらいしかないのもポイントが高い(運用はめんどくさそうだけど)。

 

Amazon CloudFrontTLSヘッダー

少し前のアップデート。こちらの記事。

aws.amazon.com

 

詳細はクラスメソッドさんのブログが詳しかった。TLSバージョンのアップデート予告などに使えるかもしれない。

dev.classmethod.jp

 

JavaTLS

こちらのツイートから。

 

サイキック・シグネチャ問題の原因となった、C言語からJavaへの移植によって性能が改善したのだろうか?それとも楕円曲線暗号など高速な暗号スイートが利用されるようになった、とかそういう話だろうか。

比較の条件がよくわからないのでなんともいえない。夏休みの課題にしてみようかなあ...。

 

▼OpenSSL:CVE-2022-2068

こちらのツイートから。

リンク先の記事はこちら。

security.sios.com

 

過去に別の脆弱性を修正しようとして、修正漏れがあったらしい。バグって難しいですよね...。

 

▼証明書管理ツールStep

こちらのツイートから。

 

smallstep.com

 

certbotとかとACMEで連携して独自CAで証明書の自動更新ができたりするっぽい。

 

[まとめ]

いろんなツールが出てきてもう全然覚えられない。普段使いしていないからなんだろうけど。何でもかんでもとりあえずopensslでやろうとするのやめてみるか...。