V.S.A. III

署名が正しく検証できない脆弱性 (RSA)

こんにちは，五十嵐です．RSA を使用した署名を正しく検証できない脆弱性が報告されています．

JVNVU#845620 複数の RSA 実装において署名が正しく検証されない脆弱性 (2006/09/12 JVN)
[ GLSA 200609-15 ] GnuTLS: RSA Signature Forgery (2006/09/26 SecurityForcus)
OpenSSL PKCS Padding RSA Signature Forgery Vulnerability (2006/09/05 SecurityForcus)
Vulnerability Note VU#845620 Multiple RSA implementations fail to properly handle signatures (2006/09/05 UC-CERT)
CVE-2006-4339 (2006/09/- CVE)

この件は，9月5日に報告されてからアップデートされたものです．署名が検証できないということは，署名つきで受け取ったものが正しいものかどうかがわからないということになります．単に署名が確認できないだけではなく，第三者が署名を偽造できるというところも大きなポイントです．第三者が署名を偽造できるということは，その仕組みを用いたすべての署名が疑わしいものになってしまうからです．

騒いでも仕方がありませんが，今のところできることは，電子署名だけではなく，入手経路や本人からのものであることを物理的な手段で確認するなど，大切なものは別な方法での確認も併用しておく必要があります．

カテゴリ：情報セキュリティ

<< TGIF: プロテベガペロリンガ | Main | 規模単位の情報セキュリティ >>

いかちょー (2006-09-28 12:19) | コメント(0)| トラックバック(92)

トラックバック(92)

トラックバックURL:

プロフィール

いかちょー

いかちょーこと五十嵐智です。
情報セキュリティ分野に興味があります。
一応、CISSP ホルダー。

SF者です。どうぞよろしく。

プロフィール詳細 (Google プロフィール)

カテゴリ

月別アーカイブ

RSSフィード