2014.10.22 NEWS

SSL 3.0の脆弱性「POODLE」への対応について

2014年10月14日、米Googleのセキュリティチームより、SSL 3.0 の深刻な脆弱性「POODLE」(Padding Oracle On Downgraded Legacy Encryption)が発表されました。
SSL3.0はWEBサイトを閲覧する際、通信を暗号するため規格の1つとなります。「POODLE」はSSL3.0を利用した通信において、暗号化された内容が読み取られたり、ブラウザに保存されているCookie情報が奪われる可能性を持つ脆弱性です。
「POODLE」への対策としまして、SSL3.0を利用した通信を遮断し、弊社WEBサイトの安全性を高める措置を行いました。
本対策によりご利用の環境によっては、SSLを利用したWebサイトが表示されない場合がございます。下記はInternet Explorerを利用している際に発生するエラー画面です。


上記のような画面が表示された場合、通信がSSL3.0のみを使用していることが原因と考えられますので、脆弱性のあるSSL3.0を無効化し、安全な通信TLS1.0を利用してください。「Internet Explorer 8」を参考にSSL3.0を無効化しTLS1.0を有効にする手順を記載します。


(1)「Internet Explorer 8」のメニューバーの「ツール」をクリックしてください。



(2)「ツール」メニューが開いたら「インターネットオプション」をクリックしてください。



(3)「インターネットオプション」ウィンドウが開いたら「詳細設定」タブをクリックしてください。



(4)「詳細設定」タブの内容が表示されたら「SSL2.0を使用する」「SSL3.0を使用する」のチェックを外し、「TLS1.0を使用する」にチェックを入れて「OK」ボタンを押してください。 ※ブラウザによっては「TLS1.1を使用する」「TLS1.2を使用する」という項目が表示される場合もございます。この2項目も同じく安全な通信になりますのでチェックをつけてください。



(5)以上でSSL3.0が無効となり、安全な通信が行われるようになります。


「POODLE」の詳細につきましては情報処理推進機構の下記のページを参照ください。
http://www.ipa.go.jp/security/announce/20141017-ssl.html