はじめに
情報セキュリティにおいて最も重要なトピックのひとつは、安全な通信です。それを実現するために最も広く使用されているのが TLS（Transport Layer Security）プロトコルです。たとえば、オンライン バンキングやインスタント メッセージ、SNS などのアプリからの通信は、すべて TLS を介して送信されます。TLS を使用すれば、ブラウザやサービスからの通信が暗号化により保護されます。つまり、情報が攻撃者によって変更や改ざんされる危険性を回避できます。ただし通信を保護するには、ブラウザが正しいエンドポイント（Wikipedia など）に接続されていることを確認する必要もあります。
今週の Black Hat と DEF CON では、シスコでセキュリティ コンサルタントを務める Alfonso Garcia Alguacil と Alejo Murillo Moya が登壇します。「Playback: A TLS 1.3 Story（新しい TLS 1.3 の登場）」と題したプレゼンテーションでは、0-RTT を使用することによる既知のセキュリティ上の影響を紹介し、実際の脅威環境で見られた攻撃について概念実証を行います。今回の目的は、セキュリティ コミュニティ全体で TLS 1.3 の新機能について認知を広めることです。プレゼンテーションは Black Hat USA 18
および DEF CON 26 で行われます。プレゼンテーションでは TLS 1.3 0-RTT について取りあげます。TLS 1.3 0-RTT の新機能が攻撃者に利用されるシナリオや、新機能を有効にした場合のセキュリティ上の影響をはじめ、セキュリティの影響を最小限に抑えつつ TLS 1.3 0-RTT を安全に使う方法について、いくつかの例でご説明します。
Playback：A TLS 1.3 Story（新しい TLS 1.3 の登場）
TLS が策定された目的は、長年使用されてきた SSL（Secure Sockets Layer）プロトコルを置き換えることでした。SSL は古さが目立ち、複数の脆弱性を抱えていたからです。初代の TLS は、SSLv3 に基づいて 1999 年に策定されました。以来、TLS 1.1（2006 年）と TLS 1.2（2008 年）が策定されています。各バージョンでは、セキュリティ研究者によって過去 20 年間に発見された脆弱性を修正するなど、前バージョンからの改良が図られています。
TLS 1.3 は新バージョンのプロトコルです。認証待ちの最終段階にあるため正式発表はまだですが、主要なベンダーやオープンソース プロジェクトではすでにサポートが開始されています。TLS ワーキング グループは、過去 4 年間、プロトコルの改良案を複数発表してきました。こうした努力の成果のひとつは、TLS 1.3 が簡素化され、いくつかの脆弱性が修正されたことです。たとえば TLS 1.2 では、サポート対象の暗号形式が多すぎた可能性があります。そのため新バージョンでは、サポート対象の暗号形式が 5 種類に絞り込まれています。
また TLS 1.3 では、接続パフォーマンスを改善するための新機能（0-RTT）も導入されています。「0-RTT」は「ゼロ ラウンド トリップ時間による再開」を意味します。サーバからの確認を待つことなくサーバにデータをプッシュできるため、セッションを高速に再開できるのが特徴です。そのため 0-RTT では、最初の接続で取得した暗号化情報をサーバに対して再利用します。次の図は、TLS 1.3 における 0-RTT 再開機能の仕組みです。
これによりパフォーマンスは向上しますが、既知のセキュリティ上の影響があります。
Black Hat と DEF CON における Talos 関連情報は、こちらの完全ガイドをお読みください。
本稿は 2018年8月8日に Talos Group
Authors