パスワードを忘れた? アカウント作成
778993 submission
インターネットエクスプローラ

今度はニセの証明書に騙される穴

タレコミ by jbeef
jbeef 曰く、
24日朝にBUGTRAQに流れた記事によると、 ニセのSSL証明書で運用されているサーバにアクセスしても、 IEでは警告が出ないというセキュリティホールが発覚した。
Netscape 6で 発見者による実証デモのページ(*1)を訪れてみると、 しっかりと「セキュリティエラー:ドメイン名の不一致」という警告ダイアログが現れる。 このデモページのURLは「http:」だが、 このページに埋め込まれている画像のURLが「https:」となっているため、 そちらに反応した警告である。 IEでアクセスした場合にはこうした警告が出ない。

ページが「http:」なので、このことそのものはセキュリティ上の問題とならないが、 問題なのは、このページにアクセスした後に「同じ https: のページ(*2)」を訪れた際にも 警告が出ないことである。 画像を埋め込んだページ(*1)を事前に踏ませてからSSLのページ(*2)に誘い込むようにすれば、すっかり騙せてしまうというわけだ。
発見者はMicrosoftに11月26日に連絡をしたとのこと。パッチはまだ出ていない。

typodupeerror

犯人はmoriwaka -- Anonymous Coward

読み込み中...