トランスポート層セキュリティを実装する広く使用されているオープンソースライブラリである GnuTLS は先週、再開された TLS 1.3 セッションを攻撃に対して脆弱にする、ほぼ 2 年間コード内に潜んでいたバグを修正しました。
TLSハンドシェイクは、安全な接続を確立するために、クライアントとサーバー間で2回の往復を必要とします。セッションチケットは、以前に確立された接続を1回の往復で再開する方法を提供します。しかし、この利便性には代償が伴います。Googleの暗号学者であるフィリッポ・ヴァルソルダ氏が述べているように、安全性は低くなります。
この脆弱性により、GnuTLSサーバーは、秘密鍵を生成する機能にアクセスすることなく、以前の安全なTLS 1.3セッション中に発行されたセッションチケットを使用するgnutls_session_ticket_key_generate()ことができました。この脆弱性を悪用できる攻撃者は、TLS 1.3の認証をバイパスし、TLS 1.2の以前の会話を復元できる可能性があります。
このバグは、GnuTLS 3.6.4 (2018年9月24日) で導入され、GnuTLS 3.6.14 (2020年6月3日) で修正されました。
SSLMateの創設者Andrew Ayer氏はTwitterで、実際には機能しない複雑なキーローテーションシステムを考案したとしてGnuTLSコードを批判した。
「彼らの『ローテーション』は脆弱性を増大させただけだ」と彼は語った。
最悪な週末でしたか？Sectigoの顧客なら、ルート証明書の有効期限が切れてオンラインが大混乱に陥った後、おそらくそうでしょう。
続きを読む
Red Hat のセキュリティエンジニアであり、GnuTLS の貢献者でもある Nikos Mavrogiannopoulos 氏は、Twitter の暗号論争に参加することには乗り気ではないとしながらも、プロジェクトを擁護する立場に立った。
「GnuTLSはライブラリであり、マスターキーを設定するものではありません。マスターキーはアプリケーションによって設定されます」と彼は説明した。「すべてのアプリケーションがキーをローテーションするわけではないことに気づいたので、これらのアプリケーションを保護するためにこのメカニズムが導入されました。」
「この文脈では、ローテーションはキーの再利用から保護しますが、アプリケーションから抽出されたキーは保護されません。これは私たちの懸念事項ではありません」と彼は述べた。
Ayer 氏は過去に GnuTLS を批判しており、GnuTLS に影響を与えた Sectigo の AddTrust レガシー ルート証明書の有効期限切れに関するブログ記事で、GnuTLS を「おどけた」TLS 実装と呼んでいました。
GnuTLSに対する彼の軽蔑に同調する人もおり、中には依存関係からGnuTLSを削除すべきだと主張する人もいた。「GnuTLSは絶対に使わないでください」と、セキュリティ研究者でMatasano Securityの創設者であるトーマス・H・プタチェク氏は皮肉を込めて言った。「…私たちは厳格なGnuTLS禁止ポリシーを実施しています」と、コンサルティング会社mgITの創設者であるマイケル・ゲベッツロイター氏は述べた。そしてフィリッポ・ヴァルソルダ氏は、「お願いです。GnuTLSには頼らないでください」と述べた。
「規模の大きさから言うと、このGnuTLSの脆弱性はHeartbleedよりもかなり深刻です」とValsorda氏はその後の投稿で述べています。「GNU系のLinuxディストリビューションを使っているなら、依存関係ツリーを確認することをお勧めします。」
同様に、Debian、Fedora、Gentoo Linux ディストリビューションもセキュリティ勧告を発行しています。
オープンソースソフトウェアに携わるTwitter社のソフトウェアエンジニア、ダニー・マクラナハン氏は、同社のソーシャルメディアサイトを利用してGnuTLSを中傷し、ソフトウェアプロジェクトに貢献して改善するのではなく、人々にGnuTLSの使用を思いとどまらせようとしたとして、情報セキュリティ専門家らを激しく非難した。
「誰もが何かを売ろうとしていて、誰もフリーソフトウェアのことなど気にしていない…」とマクラナハン氏は嘆き、さらに、高額なセキュリティエンジニアを雇いながら、批判しているプロジェクトに資金援助をしていないとしてグーグルを非難した。
The Registerは、Ayer氏に、彼自身や他の人々がGnuTLSに対して下した厳しい評価について、そしてその敵意が競合するTLSプロジェクトへの関心から来ている可能性について質問した。彼は他のTLSライブラリには貢献していないと述べ、他の人々がGnuTLSを非難する裏の動機について疑念を表明した。
「この最近の脆弱性は、セキュリティ専門家がGnuTLSを嫌う理由を示す非常に良い例だと思います」と彼は返答した。
「GnuTLS 開発者はセッション チケット暗号化キー (STEK) のローテーションを改善しようとしましたが、STEK の問題を完全に誤解していたようです。なぜなら、彼らは複雑な自作のソリューションを考案しましたが、実際には STEK の問題は解決しなかったからです。」
「彼らの設計は、正しく実装されていればSTEKを悪化させることはなかっただろうが、複雑なため実装を間違え、脆弱性につながった」と彼は説明した。
「有用なものを実装する際にミスを犯すことは許容されますが、役に立たないものを実装する際にミスを犯すことは完全に避けられます。そして、役に立たないものを実装していたという事実は、彼らが暗号技術を理解していないことを示しており、これはTLSライブラリの作者にとって問題です。」®
