SSL/TLS 「出口」加密「RSA 出口密匙因式分解」（FREAK）漏洞

影響

• 資料洩露

受影響之系統或技術

• 伺服器和客戶端的應用程式使用出口等級加密 (export grade ciphers, EC)。

有關受影響的供應商，請參考：

http://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=243585&SearchOrder=4

解決方案

在安裝軟體之前，請先瀏覽軟體供應商之網站，以獲得更多詳細資料。

• 使用 OpenSSL 版本 1.0.1、1.0.0 及 0.9.8 的用戶，請分別升級至 1.0.1k、1.0.0p 及 0.9.8zd：https://www.openssl.org/news/secadv_20150108.txt
• 客戶端：
  • 請注意供應商發出的更新檔案。目前您可以透過這個網站來檢查您的瀏覽器是否受到影響：https://freakattack.com/clienttest.html
• 伺服器：
  • 請瀏覽這個網站來檢查您的伺服器是否受到此攻擊影響：https://tools.keycdn.com/freak
  • 請關閉對 export grade 及其他弱加密字串套件的支援。詳情請參閱此指引：https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_configurations

漏洞識別碼

• CVE-2015-0204

資料來源

• https://www.smacktls.com/
• https://freakattack.com/
• Sophos Naked Security
• Microsoft
• US-CERT

相關連結

• https://www.smacktls.com/#freak
• https://freakattack.com/
• https://nakedsecurity.sophos.com/2015/03/04/the-freak-bug-in-tlsssl-what-you-need-to-know/
• https://technet.microsoft.com/library/security/3046015.aspx
• http://www.kb.cert.org/vuls/id/243585