1. 情報セキュリティブログ ホーム
  2. セキュリティニュース
  3. DNSの脆弱性に関連して「OpenID」に攻撃の危険性

DNSの脆弱性に関連して「OpenID」に攻撃の危険性

インターネット上の様々なサービスを利用する際にシングルサインオンの役割を果たしてくれるOpenIDについて、先に発覚したDNSの脆弱性(末尾の関連記事を参照のこと)の影響でセキュリティ上の危険にさらされていることが報じられました。

OpenIDにフィッシングの危険発覚(ITmedia)

これは、サン・マイクロシステムズ社のロビン・ウィルトン氏がブログで言及したもの。

OpenIDはDNSシステムに依存しているため、根幹となるDNSインフラがキャッシュポイズニング攻撃を受けると、OpenIDの発行や認証を担う「OpenIDプロバイダー」と、OpenID対応サイトの「Relying Parties」の間で正規サイトと偽サイトの区別ができなくなるだろうと指摘した。

一方、記事では、Googleのセキュリティ担当者らが発した勧告についても言及しています。これによると、「Debian Predictable Random Number Generator」の脆弱性(OpenSSL/OpenSSHの公開鍵認証に使用するペアの鍵を生成する際の脆弱性)の影響で、さまざまなOpenIDプロバイダーのTLSサーバ証明書で暗号強度の弱い鍵が使われていることが判明したとのこと。

これを攻撃者が悪用すると、DNSキャッシュ・ポイズニングを仕掛けることで、ユーザーがHTTPSを使っている場合でも、攻撃者が用意する悪意のサイトを見抜くことができず、誘導される危険性があるというものです。

記事では、この攻撃を回避するのは極めて難しいと解説しており注意が必要です。

<当ブログ内の関連記事>
DNSの脆弱性を狙った攻撃に注意を

  • HTTPレスポンススプリッティングとは
  • カテゴリートップへ
  • セキュリティめがね 第9回 「覚えきれないほど、たくさんのパスワード、スッキリ安全管理術」