弱いハッシュアルゴリズムを使用して署名した SSL 証明書

high Nessus プラグイン ID 35291

Language:

概要

証明書チェーンの SSL 証明書は、弱いハッシュアルゴリズムを使用して署名されています。

説明

リモートサービスは、暗号的に弱いハッシュアルゴリズム（MD2、MD4、MD5、SHA1 など）を使って署名された SSL 証明書チェーンを使用します。これらの署名アルゴリズムは、衝突攻撃に脆弱であることが知られています。攻撃者はこれを悪用して、同じデジタル署名の別の証明書を生成し、これによって攻撃者は、影響を受けるサービスになりすますことができます。

このプラグインは、2017年1月1日より後に期限切れとなる、SHA-1で署名したすべてのSSL証明書チェーンを脆弱性として報告します。これは、GoogleがSHA-1暗号ハッシュアルゴリズムを段階的に廃止していくことに従ったものです。

Nessus CA データベース（known_CA.inc）に含まれているチェーン内の証明書はすでに無視されていることに注意してください。