Check Point Press Releases

メディア・アラート:チェック・ポイント、SSL/TLSプロトコルに存在する深刻な脆弱性「FREAK」に対する保護機能を提供

2015年3月10日

ゲートウェイからエンドポイントまでの包括的セキュリティを提供するCheck Point® Software Technologies Ltd.(インターナショナル本社:イスラエル、会長兼CEO:ギル・シュエッド)は本日、SSL/TLSプロトコルに存在する「FREAK」と呼ばれる新たな脆弱性に対応する保護機能を3月5日にリリースしたことを発表しました。「Man-in-The-Middle」(MitM: 中間者)攻撃によりクライアントとサーバ間のHTTPS通信を傍受し、この脆弱性を利用することで、「輸出グレード」のRSA鍵を使用させることが可能となります。

FREAKは「Factoring RSA Export Keys」の略で、1990年代から存在する脆弱性です。本脆弱性により、多数の国内サイトが影響を受けるとも言われています。対策としては、脆弱性に対応した保護機能を利用することやOpenSSLを最新版に更新することを推奨します。

発見された脆弱性の概要:

  • 2015年3月3日(火)、SSL/TLSプロトコルに、「FREAK」と呼ばれる新たな脆弱性(CVE-2015-0204)が見つかったと研究者のチームが発表しました。
  • 同脆弱性が見つかったのは、OpenSSLクライアント(Androidなど)やAppleのTLS/SSLクライアント(Safariなど)になります。攻撃者は中間者攻撃を仕掛け、この脆弱性を悪用してRSA暗号を強度の低い輸出グレードにダウングレードさせることができます。同脆弱性を悪用した攻撃は多くのWebサイトに対して実行可能で、その中にはWhitehouse.gov、NSA.gov、FBI.govなど、米連邦政府に関連するWebサイトも含まれます。

チェック・ポイント製品の対応とIPS保護機能:

チェック・ポイントは、同脆弱性に対し次のIPS保護機能を既にリリースしています。

また、関連して以下の保護機能もリリースしています。

なお、この脆弱性の悪用を可能とする条件は以下の通りです。

  • デフォルトではオフのSSL_OP_EPHEMERAL_RSAオプションを明示的に有効化している必要がある(GitHub をご参照ください)
  • 非常に限定的な中間者攻撃に成功することが必要である

FREAKの詳細については、https://freakattack.com/をご覧ください。また、本脆弱性を悪用した攻撃に対するチェック・ポイントの保護機能の詳細などについては、http://supportcontent.checkpoint.com/solutions?id=sk105062をご覧ください。

チェック・ポイントのマルウェアおよび脆弱性調査チームは、世界中のインターネット・ユーザを保護するため、広く利用されているソフトウェアを対象に、定期的に脆弱性評価を実施しています。チェック・ポイントによるその他の調査結果の詳細については、http://www.checkpoint.com/threatcloud-central/をご覧ください。

チェック・ポイントの最新情報:
Twitter : https://twitter.com/checkpointjapan
Facebook : https://www.facebook.com/checkpointjapan
YouTube : http://www.youtube.com/user/CPGlobal

* 出典: 2015年2月、チェック・ポイントのラボ・テストにおいて、数千の未知のマルウェアで検証

WE SECURE THE FUTURE.
チェック・ポイント・ソフトウェア・テクノロジーズ・リミテッド(www.checkpoint.com)は、インターネット・セキュリティにおけるトップ企業として、セキュリティの複雑さと総所有コスト(TCO)を低減しつつ、あらゆるタイプの脅威からお客様のネットワーク環境を確実に保護するための妥協のないセキュリティ機能を実現しています。チェック・ポイントは、FireWall-1と特許技術のステートフル・インスペクションを開発した業界のパイオニアです。チェック・ポイントは、革新的セキュリティ技術であるSoftware Bladeアーキテクチャをベースとした一層の技術革新に努めています。Software Bladeアーキテクチャは、導入先に合わせカスタマイズすることで、あらゆる組織のセキュリティ・ニーズにも的確に対応できる、柔軟でシンプルなソリューションの構築を可能にします。チェック・ポイントは、技術偏重から脱却してセキュリティをビジネス・プロセスの一環として定義する唯一のベンダーです。チェック・ポイント独自のビジョン3D Securityは、ポリシー、ユーザ、実施という3つの要素を統合して情報資産の保護を強化し、導入環境のニーズに合わせて高度なセキュリティを確保できるようにします。チェック・ポイントは、Fortune 100社およびGlobal 100企業の全社を含む、何万ものあらゆる規模の企業や組織を顧客としています。数々の受賞歴のあるチェック・ポイントのZoneAlarmソリューションは、世界中で何百万にも及ぶお客様のPCをハッカー、スパイウェア、および情報窃盗から未然に保護しています。

チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社は、1997年10月1日設立、東京都新宿区に拠点を置いています。