「mod_sslがOpenSSLのタイミング・アタック脆弱性に対応」記事へのコメント

指摘者の論文

[jbeef (1278)]

この問題点を指摘した論文はこちらです。

• D. Boneh and D. Brumley, Remote timing attacks are practical [stanford.edu], Submitted to Usenix Security

OpenSSLには元々、RSA blinding（秘密鍵に対するタイミング攻撃から防衛する対策機能）が組み込まれているが、デフォルトでオフになっていたとのこと。

タイミング攻撃対策が、ICカードなどタイミングが一定しやすいオフライン環境での暗号処理では必須と認識されてきたのに対し、この論文は、SSLのようなタイミングが一定しにくいと考えられてきた環境においても、十分に攻撃され得ることを実験で示したもののようです。

この実験は、Apache + mod_SSLで構築したWebサーバにアクセスすることで秘密鍵を推定しようとするもので、以下の環境で試したとのことです。

1. Ethernetスイッチでつないだ2台のコンピュータで、一方からもう一方へアクセスで
2. 同じコンピュータ上で（別プロセスで）動いているApacheへのアクセスで
3. バーチャルマシン上で動いているApacheへのアクセスで

ネットワーク的に遠くにあるコンピュータへのタイミング攻撃が成功する可能性は小さいと考えられますが、論文では、上の2の実験が成功したことから、同じコンピュータ上で複数のドメイン用のサーバを提供するホスティングサービスにおいて、ある契約者が別の契約者の秘密鍵を盗むことができるという、現実的危険性を指摘しています。

Re:指摘者の論文

[jbeef (1278)]

ちなみに、同論文によると、NetscapeやMozillaがSSLのために使っている「Network Security Services (NSS)」では、blindingが行われているとのこと。