リモートサービスは、SSL 2.0 および/または SSL 3.0 を使用して暗号化された接続を受け入れます。これらのSSLのバージョンは、次のような複数の暗号化の欠陥の影響を受けます:

  - CBC暗号を含む危険なパディングスキーム。

  - 危険なセッションの再ネゴシエーションと再開スキーム。

攻撃者がこれらの欠陥を悪用して、中間者攻撃を実施したり、影響を受けるサービスとクライアントの間の通信を復号したりする可能性があります。

SSL/TLSには、もっともサポートされているプロトコルのバージョンを選択する安全な手段があります（そのため、これらのバージョンは、クライアントまたはサーバーが他にサポートしない場合にのみ使用されます）が、多くのWebブラウザはこれを安全ではない方法で実装しており、攻撃者は接続をダウングレードします（POODLEなど）。そのため、これらのプロトコルを完全に無効にすることが推奨されます。

NISTは、SSL 3.0 が安全な通信には受け入れられなくなっていると判断しました。PCI DSS v3.1に定められた施行日以降、SSLのすべてのバージョンは、「強力な暗号法」のPCI SSCの定義を満たしていません。

検出

SSLバージョン2および3のプロトコルの検出

critical Nessus プラグイン ID 20007

バージョン 1.35