「OpenSSL 0.9.8c, 0.9.7kリリース」記事へのコメント

タレコミの続き

[iida (8060)]

今回の署名検証の問題とは、インチキ署名を正しいと誤認してしまうことだ。
この誤認は、RSA鍵の指数(Exponent)が3のときに起こりうる (3以外でよく使われる指数は65537)。

wgetやcURLのようにOpenSSLを使ったウェブ・クライアントはあるとはいえ、ブラウザ全体からみれば少ない方だろう。OpenSSLでCAを立てている、という例はいわずもがな。

OpenSSLを使った署名検証で実際に影響の大きいのは、クライアント認証ではないだろうか。その場合、公開鍵の指数が3のCAを使っているとしたら、古いOpenSSLのままでは、成りすましをされる可能性が出る、ということだ。

--
iida

Re:タレコミの続き

[Anonymous Coward]

> OpenSSLでCAを立てている、という例はいわずもがな。

うーんと、CAを立てている人にとって、どういう危険がありますか？
CAで署名の検証をするときっていうと、何だっけ？

Re:タレコミの続き

[iida (8060)]

>CAで署名の検証をするときっていうと、何だっけ？

大雑把に言えば、CSRは秘密鍵で署名した公開鍵のことですよね。まっとうなCAなら、CSRの署名を検証した後で証明書を発行するはずです。秘密鍵を持っていない人に証明書を出したくないでしょうから。

>うーんと、CAを立てている人にとって、どういう危険がありますか？

「秘密鍵を持っていない攻撃者がインチキ署名のついたCSRを作って、CAに証明書を発行させる」なんてことができるとしましょう。秘密鍵を持っていない人に証明書を出したCAということになると、CAの信頼性が多少なりとも損なわれてしまう、と言えるかと思います。

--
iida

Re:タレコミの続き

[Anonymous Coward]

「秘密鍵を持っていない攻撃者がインチキ署名のついたCSRを作って、CAに証明書を発行させる」なんてことができるとしましょう。

えー？
CAは、CSR提出者がCSR中に記載された通りの人であるかを確認することだけが仕事なのだから、提出者が秘密鍵を持っていなかろうが知ったことではないのでは？

秘密鍵を持っていない人に証明書を出したCAということになると、CAの信頼性が多少なりとも損なわれてしまう

どうして？ ぜんぜんそうは思えないのですが。そのCAを信頼点として登録している人に何の不都合も生じませんから。

Re:タレコミの続き

[iida (8060)]

>CAは、CSR提出者がCSR中に記載された通りの人であるかを確認することだけが仕事なのだから

うーん。それが入るのはもちろんですが、「だけ」ってのはどうですかね。

>そのCAを信頼点として登録している人に何の不都合も生じませんから。

もっと具体的に考えてみると、理解しやすいのでは?
あなたが(たぶん暗号で)通信したくないアコギな奴の証明書が、あなたの認証したい相手の公開鍵で何枚も出ていたら、それでも認証や(平文にせよ暗号にせよ)通信をし続けたいですか?
署名検証時に、問題のデータの作者があなたの信頼したい相手なのか、それともアコギな奴なのか、気になりませんか?
正当なSubjectにたいするイヤガラセが可能な状況は、私には「不都合」な感じがします。
だから、CSR提出者が公開鍵にたいする秘密鍵のProof Of Posessionをすることの確認は、私にはCAの仕事の1つのような気がしてなりません。

--
iida