厂厂尝入门
Download as pptx, pdf1 like1,457 views
SSLってなんやねん。 TLSと何が違うねん。 けど人には聞けない！ 的な人向けなイメージで作ったスライドです。
厂厂尝入门
- 1. SSLv3とはなんだったのか ?SSL/TLS入門? uji52 作成日 2016/07/17 21:00-25:00 with アルコール 2016/07/18 14:00-17-00 with アルコール(少量)
- 2. uji52 自己紹介 ? uji52 ? 好きなAWSサービス ? Lambda ? STS ? 今興味のある脆弱性 ? httproxy 2
- 3. uji52 SSL/TLSとは ? 自分の書いた通りの内容を ? 意図した相手に対して ? 他の人に見られずに 3 ? ? Mr.A Mr.B C D うっす うっす、俺の証明書やで 公開鍵で暗号化した共通鍵やで 共通鍵で暗号化した会話！！
- 6. uji52 SSL/TLSとは 6 Server Hello 暗号化アルゴリズム?圧縮アルゴリズムを選択 Server Certificate サーバ証明書 Server Key Exchange 一時的な鍵を生成(サーバ証明書がない場合等) Certificate Request クライアント証明書の要求(任意) Server Hello Done 以上！
- 7. uji52 SSL/TLSとは 7 Client Certificate Certificate Requestへの応答(クライアント証明書) Client Key Exchange 共通鍵の元となる乱数を生成(重要語句: プリマスタシークレット) Certificate Verify クライアント証明書の署名(Certificate Requestが存在する場合) Change Cipher Spec マスターシークレットを生成して共通鍵生成して、これを使うという決定通知 Finished 以上！
- 11. uji52 SSL/TSLの歴史 11 バージョン 大丈夫？ 概要 SSL1.0 あかん 初めてのSSL 設計レビュー段階で脆弱性発覚して破棄 SSL2.0 あかん 1994? 脆弱性の確認によりSSL3へ移行 ダウングレード攻撃が話題に SSL3.0 あかん ほぼTLS1.0 ただし、話題性あふれる脆弱性がたっぷりなので使っちゃだめ！ TLS1.0 脆弱性対応と アルゴリズム次第 ここからはある程度の安心感がある BEAST等の脆弱性について考慮すべし TLS1.1 脆弱性対応と アルゴリズム次第 TLS1.0の弱点対策系バージョン AES暗号を採用 TLS1.2 脆弱性対応と アルゴリズム次第 ハッシュアルゴリズムにSHA-256追加され、ブロック暗号にも CBC(Cipher Block Chaining)に加えGCM(Galois/Counter Mode)やCCM(Counter with CBC-MAC)が採用 TLS1.3 えぇ感じのハズ 2016中に公開予定
- 13. uji52 POODLE(Padding Oracle On Downgraded Legacy Encryption) ? SSLの通信の中身が見えちゃう ? ブロック暗号長のパディング検証の脆弱 ? パディングの値が正しいかどうか正誤が返却 ? その正誤を１バイトずつ復元できちゃうらしい (詳細理解には至れなかった) ? 明示的にSSLv3の通信Offにしなきゃ ? サーバサイドの設定でも ? ブラウザサイドの設定でも 13
- 14. uji52 まとめ ? セキュリティはビビってなんぼ ? 自分が送ってる通信に対して常に危機感を！ ? 自分が送らせることになる通信に対しても常に危 機感を！ ? 自身の勉強が足りん ? 脆弱性の発生しうる原因に対しての理解が追いつ いていない ? 暗号化のアルゴリズムについても理解を深めたい 14
- 15. uji52 おまけ 15
- 16. uji52 パケット 16
- 17. uji5217
- 18. uji5218
- 19. uji5219
- 20. uji5220