개요

• 프랑스 국립 연구소(INRIA) 및 MS社에서는 SSL을 통해 강제로 취약한 RSA로 다운 그레이드 시킬 수 있는 취약점을 발견
  ※ CVE-2015-0204 : OpenSSL s3_clnt.c의 ssl3_get_key exchange 함수에서 발생하는 취약점으로 공격자가 MITM(Man In The Middle Attack)을 통해 512비트 RSA로 다운 그레이드 시켜 정보를 유출시킬 수 있는 취약점

해당 시스템

• 영향을 받는 시스템
  • Openssl 0.9.8 대 0.9.8zd 이전 버전
  • Openssl 1.0.0 대 1.0.0p 이전 버전
  • Openssl 1.0.1 대 1.0.1k 이전 버전
  • 이 밖에 취약한 OpenSSL을 사용한 Apple, Google, MS社 등의 제품

[OpenSSL 버전 확인 명령어]
openssl version
 
 
[취약점 확인 명령어]
openssl s_client -connect [웹사이트명]:443 -cipher EXPORT
 
'alert handshake failure'가 돌아오면 취약점에 안전한 상태
'Certificate chain'이 돌아오면 공격에 노출되어 있는 상태
 

 [취약점 대응 방법]
OpenSSL 0.9.8zd 미만   -> OpenSSL 0.9.8ze 업데이트
OpenSSL 1.0.0 버전의 1.0.0p 미만 -> OpenSSL 1.0.0q  업데이트
OpenSSL 1.0.1 버전의 1.0.1k 미만 -> OpenSSL 1.0.1l 업데이트

버전 업그레이드가 어려운 경우, OpenSSL 'RSA_EXPORT Cipher Suites'를 지원하거나 클라이언트로 'RSA_EXPORT suite'를 전송할 수 있는 모든 기능을 비활성화 시킬 것을 권장
※ https://mozilla.github.io/server-side-tls/ssl-config-generator/ 사이트를 참고하여 권장사항으로 설정

[Client 대응책]
Internet Explorer : 3.10패치발표
Chrome : v41 패치완료
Safari : 3.10 패치발표
Android Browser : 취약
 
[웹 브라우저 패치 여부 확인]
freakattack.com 사이트에 접속했을 때 빨간색으로 "Warning" 문구가 나오면 패치가 이뤄지지 않은 상태이며, 초록색으로 "Good News"라는 문구가 나오면 패치가 완료된 상태입니다.
 
-          참고사이트
-          https://freakattack.com/