Logjam メモ

今のところのLogjamのメモ

元情報
https://weakdh.org/

ニュースサイト
http://www.itmedia.co.jp/enterprise/articles/1505/21/news055.html
http://japan.zdnet.com/article/35064803/

サーバーの確認は
https://weakdh.org/sysadmin.html
でできる


TLSプロトコルの仕様でDiffie-Hellman key exchangeに対してDowngrade攻撃できる

DHE_EXPORT (512bit) にされると即死。
DHE_EXPORTは無効であることが必須

768bitだと学術機関
1024bitでも国家機関
だと解読出来る可能性あり。
通常は1024bitになっている
なので2040bitがお勧め
あと Forward Secrecy もね

最低限必要なのは、DHE_EXPORT を無効にすること
Foward Secrecy は OpenSSL 1.0.0以下だとできないか

FREAK対策でEXPORTが無い事は全て確認済なので問題ないはず


ELBは公式で
https://forums.aws.amazon.com/ann.jspa?annID=3061
最新のポリシーではDHEそのものを無効にしている！
http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/elb-security-policy-table.html
これでどれくらいクライアントに影響あるんだろう
どこかで最新のポリシーでの SSL Test結果が見てみたいね




サーバーがクライアントになるパターンは、、、どうやって対応する？
OpenSSLで無効にならないと対応辛い。
OpenSSL自体がDHE_EXPORTなどEXPORTグレードのcipherをサポートしているかどうかの確認
 openssl ciphers -s EXP -v


OpenSSLのBlog
https://www.openssl.org/blog/blog/2015/05/20/logjam-freak-upcoming-changes/
今後のバージョンでデフォルト設定を安全にしていく


使いたくない暗号化方式を落として openssl をビルドする方法
http://qiita.com/docokano/items/b3e4e61eeb9b53cca167