SSL/TLSのおすすめリソース（攻撃、ツール、講演）

本記事では、SSL/TLSに関する現時点で最良のリソースを紹介します。

Ostorlab Team 2015年8月25日

本記事では、SSL/TLSに関する現時点で最良のリソースを紹介します。ほかにも掲載すべき参考資料があれば、コメント欄でお知らせください。追加いたします。

BEAST：CBCモードにおける暗黙的な初期化ベクトル

CRIME：圧縮を補助的なチャネルとして利用

TIME & BREACH：CRIME攻撃の強化版

LUCKY 13：CBCにおけるパディングオラクル

RC4：統計的な偏り

POODLE：SSL 3.0のCBCにおけるパディングオラクル

Triple Handshake：悪意のあるWebサイトへの接続時に認証情報を取得し、クライアントになりすます

GOTO fail in Apple：証明書検証の失敗につながる不適切なコーディング慣行

GOTO fail in GnuTLS：証明書検証の失敗につながる不適切なコーディング慣行

Heartbleed：読み取り処理におけるスタックオーバーフロー

Universal Signature Forgery in NSS：Network Security Services（NSS）ライブラリの欠陥により、攻撃者が偽造されたRSA証明書を作成できる

Server Code Execution in SChannel：Microsoft Serverにおけるリモートコード実行の脆弱性

Early CCS：OpenSSLのステートマシンにおけるエラー

SMACK/FREAK/SKIP-TLS：一部のSSL実装に存在し、暗号化を無効にしたり、解読可能な弱い暗号へダウングレードさせたりしうる脆弱性

LogJam：FREAKと同様のダウングレード攻撃だが、実装の欠陥ではなくプロトコルの欠陥に起因する

TrustKit：コードを変更することなく、iOS 8以降で汎用的なSSLピンニングを実現
https://datatheorem.github.io/TrustKit/

FlexTLS：TLS実装のテストと、攻撃PoCの作成を容易にするツール
https://www.smacktls.com/

nogotofail：通信経路上（on-path）で動作する、ブラックボックス型のネットワークトラフィックセキュリティテストツール
https://github.com/google/nogotofail

SSL/TLS current status, 3 years after（フランス語）
https://www.sstic.org/2015/presentation/ssltls_soa_reloaded/

タグ：

android, ios, ssl/tls

Ostorlabニュースレターを購読する