ネットワークスペシャリスト 2019年 午前2 問16

TLSのダウングレード攻撃【午前2解説】

正解の理由

解法ステップ

1. 問題文の鍵語を探す：「ダウングレード」「暗号スイート」「弱い」「強制」など、交渉の「弱体化」を示す表現を重視する。
2. 各選択肢が「ネゴシエーション（握手）」に関係するかを判断する。ダウングレードは握手段階での強度低下を指す。
3. 握手以外（総当たり攻撃、証明書失効、ブラウザのバージョン書き換え）に該当するものは除外する。
4. 握手で暗号スイートを弱体化させる記述があれば正答とする（本問では エ）。

選択肢別の誤答解説

• ア: 暗号鍵候補を総当たりで試す「ブルートフォース攻撃」は暗号強度を破る試行であり、ダウングレード（ネゴシエーションを弱める行為）とは別物です。タイミングも通常はハンドシェイク後の解析段階です。
• イ: 通信中にサーバ証明書を“失効”させる操作は、第三者が即座に証明書を無効化する現実的手段としては成立しにくい（失効情報はCA側で管理される）。また証明書失効操作はダウングレード概念（暗号選択の弱体化）とは異なります。
• ウ: サーバから送るデータを改ざんして「クライアントのWebブラウザを古いバージョンにする」といった記述は、プロトコルやソフトウェア自体のバージョンを直接書き換える意味で現実的ではなく、TLSネゴシエーションの弱体化を指していません（アプリ層の欺瞞とは別）。
• エ: ネゴシエーション段階で弱い暗号スイートを使わせる行為はダウングレード攻撃の典型であり、正解です。攻撃者はClientHelloの候補を改竄したり、対応する拡張（例：Supported Versions）を削るなどして誘導します。

よくある誤解

• ダウングレード攻撃と中間者攻撃（MITM）は同義か？
  概念的には異なります。ダウングレード攻撃は「通信の暗号的強度を低下させる行為」を指し、MITMは「通信経路に介在して盗聴や改竄を行う手法」を指します。しかし実際にはMITMがハンドシェイクを改竄してダウングレードを実行するケースが多く、両者は密接に重なります（例：MITMがClientHelloを改竄して弱い暗号を残す）。
• TLS1.3があればダウングレード攻撃は完全に防げるか？
  TLS1.3は旧版に比べ安全性を高め、暗号選択肢を厳格化するなどで攻撃面を減らしますが、実装や設定ミス、フォールバックの扱いによっては依然リスクがあります。
• TLS_FALLBACK_SCSVはTLS1.3の専有機能か？
  いいえ。TLS_FALLBACK_SCSVはRFC7507で定義されたフォールバック防止用の仕組みであり、TLS1.3固有の仕様ではありません。クライアントが意図的に低いバージョンで再試行する際にSCSVを含めると、サーバは異常なフォールバックと判断して接続を拒否できます。

補足コラム

• 実例: POODLE（SSL 3.0のフォールバックを悪用）や Logjam（弱いDHパラメータやexport-gradeの誘導）は、ダウングレードやネゴシエーションの弱体化が原因で発生した代表的脆弱性です。
• 対策のポイント:
  • サーバ側で古いプロトコル/暗号スイートを無効化する（SSL 3.0 や RC4、export cipher の排除）。
  • 常に最新のTLSバージョンを優先し、フォールバックを不要にする。
  • RFC7507（TLS_FALLBACK_SCSV）やHSTS、証明書ピンニング、堅牢な実装で防御層を増やす。
  • ネットワークでの改竄検出（TLSの拡張やログ）を監視する。

FAQ