Cookie の使用について.本サイトでは、基本機能の提供に必要な必須 Cookie を使用しています。さらに、同意いただいた場合に限り、アクセス解析 Cookie を利用して利用状況を把握し、サービス改善に役立てます。詳しくは .
Cookie の使用について.本サイトでは、基本機能の提供に必要な必須 Cookie を使用しています。さらに、同意いただいた場合に限り、アクセス解析 Cookie を利用して利用状況を把握し、サービス改善に役立てます。詳しくは .
SSL CCS注入脆弱性検出
このツールは使いやすかったですか？
フィードバックは改善に役立ちます
检测目标服务器是否存在CVE-2014-0224漏洞，评估SSL通信安全性，输出CVE/CWE风险编号。
CCS Injection：ホストと指定TLSポートのtestssl.sh結果と報告バージョンを表示。欠落や時間切れは不明、OKは今回の当該検査で報告なしであり安全保証ではありません。 出典
ドメイン名またはIPアドレスを入力して診断を開始してください。
概要
解決できる課題、処理の仕組み、データの範囲を確認できます。
この検査は、TLSハンドシェイク中の ChangeCipherSpec（CCS）メッセージ処理に関する OpenSSL の脆弱性、CVE-2014-0224を対象にします。CCSは、鍵の切り替えを知らせるTLSメッセージです。JVNの説明では、鍵情報の交換前にCCSを受け取る実装上の問題により、空の鍵情報を使って暗号鍵を生成する場合があり、条件がそろうと中間者が通信を解読または改ざんするおそれがあります。OpenSSLの告知では、攻撃には脆弱なクライアントとサーバーの双方が関係するとされています。このページの結果は、指定したサーバー接続に対するCCS項目の観測です。
入力するのはホスト名またはIPアドレスとTLSポートです。初期値は443ですが、フォームのポート番号を変更して検査できます。結果には接続先、ポート、解決されたIPアドレス、スキャナーが返したバージョン情報や所要時間、検出説明が表示される場合があります。CVEまたはCWEの識別子は、応答に含まれるときだけ表示されます。
状態は今回のCCS検査についての表示です。「報告なし」はこの応答で当該項目がリスクとして報告されなかったという意味です。「リスクを報告」は警告を受けて確認が必要な状態、「不明」は判定材料が足りない状態です。項目自体が返らない、通信がタイムアウトする、結果が途中で切れている場合は、合格と読み替えず、接続条件を確認して再検査するか別の手段で照合してください。
使い方
手順に沿って操作し、例を使って入力と結果を確認します。
管理している、または検査の許可を得た公開ホスト名かIPアドレスを入力します。パスやURLのクエリではなく、接続先のホストを指定してください。
対象サービスが待ち受けるポートを入力します。HTTPSで一般的な初期値は443ですが、実際の設定に合わせてください。指定できる番号は1～65535です。
検査を開始し、対象とポートが意図した接続先か確認してから、状態と検出説明を読みます。バージョン、CVE/CWE、検査時間などは応答に含まれる範囲で表示されます。CCS項目が見つからない、または状態が不明なら、成功とは扱わず記録に残します。
活用例
仕事や日常の流れの中での活用方法を紹介します。
サービス管理者は、許可された対象で更新やTLS終端設定の変更後にCCS項目を確認し、表示されたホスト、ポート、結果説明を作業記録と照合できます。入口がロードバランサーやプロキシの場合は、どの機器がTLSを終端しているかも確認します。
運用担当者がCVE-2014-0224に関する通知を受け取った際、対象サービスの応答を一つの確認材料として記録できます。リスク報告があれば、実際に使う製品とライブラリの版、ベンダーの修正情報を確認し、担当者と対応方針を決めます。
この検査だけでソフトウェアの導入状況や全ノードの状態までは確定できません。名前解決先が複数ある場合や、ネットワーク経路によって接続先が変わる場合は、結果を対象の構成情報と突き合わせます。
Q&A
よくある疑問や迷いやすい点をまとめて確認できます。
はい。フォームはホスト名またはIPアドレスを受け付けます。対象のIPが実際に検査許可を得たシステムのものか確認してください。
はい。1～65535の範囲で対象サービスのポートを入力できます。初期値は443で、入力した番号が検査対象に使われます。
いいえ。この表示が示すのは今回のCCS項目でリスクが報告されなかったことです。別のTLS脆弱性、証明書や暗号設定、他の接続先ノードまで安全だと証明するものではありません。
不明や未返却は脆弱性なしの判定ではありません。ホスト名、IP、ポート、サービスの到達性を確認して再実行し、それでも判定できなければソフトウェア台帳や正式なセキュリティ検査の結果と照合してください。
注意
利用範囲、結果の制限、必要な注意点を事前に確認します。
自分が管理する対象、または明示的に許可されたホストだけを検査してください。外部システムへの無断プローブは、規則や契約に抵触する可能性があります。検査対象はCVE-2014-0224のCCS項目に限られ、TLS全般の診断や包括的な脆弱性監査ではありません。結果はネットワーク経路、IPアドレス、TLSを終端する機器やノードによって異なることがあります。未返却、タイムアウト、切り詰められた応答を「問題なし」と解釈しないでください。リスク報告がある場合は、製品ベンダーの情報と実際のバージョン・構成を確認し、修正適用後も適切な範囲で再確認してください。
関連
関連ツール、特集、利用可能なAPIを探せます。