『Sweet32対策のため3DESの無効化ができますか？』のクチコミ掲示板

[Mocha Mattari]

このルータは「SSL/TLS: Report Vulnerable Cipher Suites for HTTPS443"以下の暗号スイートを利用できないようにする　TLS_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)"」ことができるのでしょうか？　職場でWXR-5950AX12を使っているのですが、最近職場では暗号化アルゴリズム「3DES」を無効化することになり、その無効化ができないので、WXR-5950AX12を買い換えようかと考えております。

書込番号：25571292

[羅城門の鬼]

WXR-11000XE12のマニュアルの
https://manual.buffalo.jp/buf-doc/35022678-02.pdf
を見てみても 3DES は全く出てこないので、
設定で3DESを無効にするという事は出来ないようです。

ちなみに本件はAirStationのVPNでの暗号セキュリティに関するものなのでしょうか？

書込番号：25571321

[Gee580]

＞Mocha Mattariさん

この質問の意味がよくわからないんだけれども、SWEET32 atackからルーターを保護したいの？
それとも、ルーターでその攻撃トラフィックを止めたいの？

ルーターを保護したいのであれば、AESを使えば？　WPA3とかWPA2AESでいいのでは？
３DESは１９９８年プロトコルでAESは２００１年プロトコルだよね。

＞最近職場では暗号化アルゴリズム「3DES」を無効化することになり、
というのは、じつは、職場で行われているのは、古い機器の一掃ではないのかな？
無効化とは、一掃のことでしょ？

で、大事なのは、セキュリティーをマジで考えているのならば、ビジネスグレードのネットワーク機器、やファイアウォール機器を使うべきだよね。ホーム用機器ではダメでないの？
あとは、メードインジャパンを確認することだよね。　日本ベンダーでも、中身は敵国性が多いから注意だよね。

このケースではサーバー側でのセキュリティー対策が重要になると思うけれども。

書込番号：25571374

[Mocha Mattari]

早々にアドバイスありがとうございます。

羅城門の鬼さん

> ちなみに本件はAirStationのVPNでの暗号セキュリティに関するものなのでしょうか？

　暗号セキュリティに関するものだとは思うのですが、VPN上での問題ではないように思えます。
　装置として設定画面用Webサービス接続時のHTTPSプロトコルの暗号化手法に脆弱性が発見されたものなのではないかと推察しております。


Gee580さん

> この質問の意味がよくわからないんだけれども、SWEET32 atackからルーターを保護したいの？
> それとも、ルーターでその攻撃トラフィックを止めたいの？

　当該機器はルーターモードでは運用しておらずブリッジモードで運用しておりますので、ルータを保護したいというより、攻撃トラフィックからイントラネットを保護しろという指示だと思われます。

> このケースではサーバー側でのセキュリティー対策が重要になると思うけれども。

　仰る通りだと思います。少なくともこのアクセスポイントがSweet32のアタックを受けるときには、イントラネットのサーバを介していることになると思うので、このAPにSweet32の攻撃が届くような状況になっている時点で組織内LANが壊滅的な打撃を受けている状況であるような気がします。が、管理部門からは、ファームウェアのアップデートや設定で攻撃回避や保護ができないようであれば、買い換えろとのお達しです…
　職場では、末端で利用するネットワーク機器は管理部門が検査の上購入・貸与するのではなく、受益者が各部署の予算で購入し管理しなければならず、小職には業務用の機器は設定や管理・運用のハードルが高いので家庭用を利用しております。同じB社も製品でも最新型であれば大丈夫なものでしょうか？

書込番号：25571675

[ムアディブ]

あんまり現状を詳しく述べろと言うのもアレなんですが、ひょつとしてWiFiにVPN使ってないって事ですかね?
そっから不味いような気がするけど、、、

ブリッジにTLSの対策しろって事は、ブリッジの設定ポートをなんとかしろって意味だと思いますが違うんですかね?
で、そもそもブリッジの設定を外に剥き出しにしてるの? っていう次なる疑問が、、、

もしくは、ブリッジでTLS監視して3DESが使われそうになったらキックしろってことだとすると、少なくてもスモールオフィス用のセキュリティアプライアンスでないとムリじゃないかと。

もうちょっと話をちゃんと聞いた方がいいんじゃないかなぁ。

書込番号：25571735

[Gee580]

＞Mocha Mattariさん
＞このAPにSweet32の攻撃が届くような状況になっている時点で組織内LANが壊滅的な打撃を受けている状況であるような気がします。

Sweet32　はそのターゲットに押しかけてきて攻撃するというものではなく、Men in the middle (MIM)の一種で採集した３DESで暗号化されたトラッフィクを解読してから、違う攻撃を行う　という方式だよね。

だから”Sweet32の攻撃が届くような状況になっている時点で組織内LANが壊滅的な打撃を受けている状況であるような気がします。”　この表現はおかしいよね。
Sweet32についてよく調べてみましょう。　しらべれば、不安は解消できるよね。　また、会社でSweet32だけを騒いでいるように聞こえるけれども、なんで？と理由をきいてみましょう。セキュリティについてはSweet32だけではないからね。　

VPNプロトコルでも３DESをつかっているものが狙われるので、VPNだからといってSweet32は防げるということではない。　
https://nvd.nist.gov/vuln/detail/CVE-2016-2183

＞小職には業務用の機器は設定や管理・運用のハードルが高いので家庭用を利用しております。同じB社も製品でも最新型であれば大丈夫なものでしょうか？

古い３DESを使い続けているのはあまりないとおもうけれども、まず古いVPNプロトコルを使っているとまずいよね。暗号化についてどのように実装しているのかをチェックしてみれば？　AESならば、Sweet32からは外れるよ。

書込番号：25571795

[羅城門の鬼]

>　当該機器はルーターモードでは運用しておらずブリッジモードで運用しておりますので、ルータを保護したいというより、攻撃トラフィックからイントラネットを保護しろという指示だと思われます。

ブリッジモードならば、AirStationは右から左へとMACアドレスに従い
パケットを受け渡すだけですので、AirStation自体は関与しないのではないでしょうか。

ネットワーク管理部門と相談されてみてはどうですか。

書込番号：25571829

[Mocha Mattari]

羅城門の鬼さん、Gee580さん、ムアディブさん

　いろいろとご教示ありがとうございます。セキュリティ部の担当者にもう少し詳しく訊いてみます。通常は上意下達で対策法については「自分でできないのならネットワークから切り離す」としか言わないのですが、食い下がってみます。

書込番号：25571973

[Gee580]

＞Mocha Mattariさん
＞通常は上意下達で対策法については「自分でできないのならネットワークから切り離す」としか言わないのですが、食い下がってみます。

なんか、お城勤めみたいだね。　食い下がる前に必ず、Sweet32 Attackついて概略を予習をしておきましょう。

書込番号：25572907

[maniac999]

＞Mocha Mattariさん

SSL/TLS: Report Vulnerable Cipher Suites for HTTPS443

ということは、管理画面アクセス時のhttps暗号化スイートからTLS_RSA_WITH_3DES_EDE_CBC_SHAを外しなさい、
と言われたということですよね？
であれば管理画面からの設定はできず、ファームウェアの提供を待つほかないと考えます。
サポートへ
　管理画面へのhttpsアクセス時の暗号化スイートから3DESを削除したファームウェアは提供されるか？
と問い合わせてみてはいかがでしょう。

書込番号：25579077

[maniac999]

＞Mocha Mattariさん

連投ごめんなさい。上記は「WXR-5950AX12」機種のお話です。
WXR-11000XE12で3DESが削除されているかどうかは、
これもまたサポートへ問い合わせるしかないと思います。
（あるいは所有者の方で暗号化スイート一覧を確認してくれる勇者を待つか。）

書込番号：25579080

[Mocha Mattari]

maniac999さん
仰るとおりだと思います。セキュリティ担当部署によると、WXR-5700AX7Sでは問題はないとのことなので、ネット脅威ブロッカー2が実装されている機種であれば大丈夫なのかもしれません。そうであればWXR-110000XE12もイケそうな気がしますが…。人柱になってみるしかなさそうですね。

書込番号：25579898

[Gee580]

＞Mocha Mattariさん

一番確実なのは、KAKAKU.COMではなく、ベンダーサポートへの問い合わせだよね。　３DESコードをつぶしているかどうか？を訊いてみるといいよ。で、コンクリートな証拠とすればいいよね。

詳しくない人によるBYODなんで、セキュリティー部門は自分の会社での３DESの存在を恐れているんだろうね。

書込番号：25580131

[Gee580]

＞Mocha Mattariさん
FYI
時間がたってしまっているけれども、セキュリティーの調査でついでにしらべてみたよ。
これは白だと思うよ。　いまのところ、Sweet32の脆弱性はもってないね。

書込番号：25588991

[Mocha Mattari]

Gee580さん
ありがとうございます。WXR-11000XE12とWXR-6000AX12Pについて3DESの無効化が可能かどうかをBuffaloに問い合わせています。未だに回答はありませんが…

書込番号：25589108