TLS LOGJAM脆弱性検出

LOGJAM検査で確認できること

このページでは、入力したホスト名またはIPアドレスとポートに接続し、TLSのLOGJAM検査項目についてスキャナーが返した所見を表示します。対象は一つの脆弱性項目です。証明書の有効性、TLSバージョン、ほかの暗号スイートや脆弱性をまとめて評価する総合診断ではありません。

LOGJAMは、TLSのDiffie–Hellman（DH）鍵交換をめぐるダウングレード攻撃です。DH鍵交換は通信相手が共有鍵を取り決める仕組みで、研究では、条件のそろった接続を弱い輸出用暗号へ誘導する攻撃が示されました。DHを使っていることだけでLOGJAMに該当するわけではなく、特定の設定と攻撃条件が関わります。背景と条件はLOGJAMの原研究で確認できます。

結果欄の読み方

結果には対象ホスト、接続先IPアドレスとポート、検査状態、検出内容などが表示されます。状態が「OK」の場合は、この応答でLOGJAMの所見が報告されなかったという意味です。「WARN」や「CRITICAL」などの報告があれば、検出内容を読み、対象の入口やTLS設定を管理者側で確認してください。「INFO」や不明の表示、検査項目の結果が返らなかった旨の表示は、合格を意味しません。結果にCVE IDが含まれる場合、その番号は脆弱性情報を調べる識別子であり、単独で今回の検査結果や深刻度を決めるものではありません。LOGJAMとCVE-2015-4000の対応はNIST NVDの記録で照合できます。

許可されたホストを検査する手順

1. 接続先を用意

   管理権限がある、または所有者から検査許可を得た公開ホストを指定します。ドメイン名かIPアドレスを入力し、ドメインにパスやクエリ文字列を付けないでください。

2. ポートを指定

   ポート欄には検査したいTLSサービスの番号を入力します。初期値は443です。1から65535までの整数を指定できます。443以外のTLSサービスを調べる場合は、実際にTLS接続を受け付けるポートを確認してください。

3. 検査して対象と応答を確認

   診断を開始したら、結果に表示されたホスト、IPアドレス、ポートを意図した接続先と照合します。続いて状態と検出内容を読みます。専用検査が利用できず全検査に切り替わった表示、結果未返却、報告の切り詰めがある場合は、LOGJAMについて確定的な合格と判断せず、管理者側で再確認してください。

判定に迷ったとき

検査範囲と利用時の注意

自分が管理するか、明示的な許可を得た公開ホストだけを検査してください。検査では指定先へTLS接続を行います。プライベートIPなど公開経路で到達できない宛先は対象にできません。ホスト名のDNS解決先が複数ある場合や、CDN、ロードバランサーなどの背後に複数の入口がある場合、一回の結果がすべての接続先を代表するとは限りません。

表示される状態は、その時点で選択された接続先から返ったLOGJAM項目の報告です。設定変更、DNSの変更、負荷分散先の切り替え後は再確認してください。OKでもTLS全体の安全性は保証されず、結果未返却や不明を問題なしと読み替えることもできません。重要なシステムでは、対象範囲を整理したうえで、組織のセキュリティ要件に沿う総合的なTLS設定確認を行ってください。