悪夢か？よみがえるPOODLEの恐怖がシステム管理者を襲う

悪夢か？よみがえるPOODLEの恐怖がシステム管理者を襲う
1. 実際にこの脆弱性を利用した攻撃手法とは？
2. 対策方法はあるのか？

悪夢か？よみがえるPOODLEの恐怖がシステム管理者を襲う

「Transport Layer Security（TLS）」に、「POODLE」と同じ脆弱性があることが分かりました。

POODLEって何？って方はこちらをチェック
IEでSSL3.0を無効にする方法 POODLEの対策を！CVE-2014-3566
FirefoxでSSL3.0を無効にする方法 POODLEの対策を！CVE-2014-3566

いったいぜんたい、どのプロトコルを使えば良いのでしょう。

この脆弱性を利用した攻撃では「Man-In-The-Middle（中間者）攻撃」で暗号化されたトラフィックが攻撃者によって解読される可能性があるというものです。

最初の「POODLE」は、暗号を cipher-block chaining（CBC）モードで使用していた場合に脆弱性があるものだったので、CBCモードを無効化すれば対策が出来ました。
※通常はSSL3.0を切ってしまえば良い話です。

そして、TLS 1.0 から 1.2 までのプロトコルには、この脆弱性は存在しないと言われていました。

が、いくつかの条件で「POODLE」と似たような攻撃が TLSもで実行される可能性があることが
分かったようです。

以下はGoogle のエンジニアからのコメントです。

これは、AEAD暗号スイートを使用する TLS 1.2 より前の全てのバージョンの暗号が破られたと主張を繰り返すのに良い機会だろう。RC4 を禁止する IETF の草稿は最終段階に来ているが、RC4 だけに問題があると考えるのは間違いだ。RC4 は根本的に破られており、それを救済する実装はないが、MtE-CBC暗号方式に対する攻撃のほうが、はるかに実践的であることは繰り返し証明されている。TLS 1.2 をサポートする Webサイトが12月時点でもうすぐ 50% に到達しそうなのが救いだ。

何を言っているのかよく分かりませんが、RC4はだめなことは明白だけど、RC4以外も危ないよ、という感じでしょうか。