【ポイント】

■インターネット上での安全な通信を支えるSSLで使われているRSA公開鍵の脆弱性を検証

■脆弱なSSLサーバの分布状況を把握

■インターネット上での安全な通信を支えるSSLの信頼性向上に寄与

　独立行政法人 情報通信研究機構 （以下「NICT」、理事長：坂内 正夫） は、インターネット上での安全な通信を支える Secure Socket Layer (以下「SSL」)の脆弱性を検証するシステムを構築しました。2012年、SSLに対する新しい脅威が報告され、世界中のSSLサーバの0.4%に当たる2万台以上が危険な状態にあることが明らかになりましたが、今般、NICTでは、SSLサーバの上記の脆弱性を検証するシステム「XPIA（エクスピア）」を開発し、現在危険な状態にあるSSLサーバの分布状況を把握することに成功しました。なお、本成果は、わが国の電子政府等において、暗号技術を安全に利用するための指針として活用される予定です。今後も、NICTでは、SSLに対する新しい脅威を解析していくほか、ネットワーク上での安全な通信を確保するための研究開発を進めていきます。

【背景】

　SSLは、電子政府システムから、インターネットバンキング、オンラインショッピングなど国民生活の身近な所に至るまで、広く普及しているセキュリティシステムです。その一方でSSLの発展と普及に歩調を合わせるかのように、SSLに対する攻撃手法が日々進化し、巧妙化しています。2012年に、SSLで使われているRSA公開鍵に対する新たな脅威が公開され、2万台にも及ぶSSLサーバが危険にさらされていることが報告されました。この新たな攻撃手法による実際の脅威がどのようなものか、どのSSLサーバが危険な状態にあるかなど、報告されたセキュリティ上の脅威について、その実態を把握することが喫緊の課題となっていました。

【今回の成果】

　このたびNICTは、SSLの脆弱性を検証するシステム「XPIA(エクスピア)」を開発しました。これは、インターネット上で公開されているSSLサーバの公開鍵証明書について、そのセキュリティ上の脆弱性を検証するシステムです。本システムにより、SSLサーバで用いられている公開鍵証明書の脆弱性を速やかに検証できるとともに、脆弱なSSLサーバを特定することができます。

　今回、XPIAを用いてSSLサーバから収集した公開鍵証明書から抽出したRSA公開鍵の脆弱性を検証したところ、少なくとも世界中で2,600台を超えるSSLサーバが脆弱な公開鍵を現時点でも利用していることが分かりましたが、本調査の範囲内では、脆弱な公開鍵を使用しているインターネットバンキングやオンラインショッピングなどのサービスサイトは見つかりませんでした。

【今後の展望】

　今回の成果により、SSLに対する新たな攻撃手法による実際の脅威を把握できただけではなく、この問題の根本原因であるRSAの公開鍵を含む、鍵生成方法等における実利用において諸課題があることが分かりました。NICTでは本システムを活用してSSLに対する新しい脅威を解析していくほか、RSAの公開鍵の生成法等、ネットワーク上での安全な通信を確保するための研究開発を進めてまいります。なお、本成果は、わが国の電子政府等において、暗号技術を安全に利用するための指針として活用される予定です。