SSL(Secure Sockets Layer)은 1999년 TLS(Transport Layer Security)이전의 인터넷 통신을 통한 보안을 제공하기 위해 가장 널리 배포 된 암호화 프로토콜이었습니다.SSL 프로토콜의 사용이 중단되고 대신 TLS가 채택되었지만 사람들은 여전히 이 유형의 기술을 'SSL'이라고합니다.
유서트에서 판매되는AATL(Adobe Approved Trust List) 인증서는 전 세계 수 백만 명의 사람들이 세계에서 가장 신뢰할 수있는 디지털 ID를 사용하여 문서에 디지털 서명을 할 수 있게 해주는 인증서이며,Secure Email(S/MIME) 사용자가 전자 메일에 디지털 서명하고 암호화 할 수 있도록 하는 인증서 입니다.
□ 개요 o 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트 발표[1] o SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 등 - DROWN(Decrypting RSA with Obsolete and Weakened eNcryption) - CacheBleed: 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격
□ 영향 받는 사용자 - OpenSSL 1.0.2 사용자: 1.0.2g로 업데이트 - OpenSSL 1.0.1 사용자: 1.0.1s로 업데이트
□ 업데이트 내용 o SSLv2 프로토콜 비활성화 기본 설정 및 SSLv2 EXPORT 암호화 제거 등
□ 취약점 내용 및 권고 사항 o DROWN: 낡고 취약한 암호화를 통한 RSA 복호화 - RSA(Rivest Shamir Adleman): 공개키 암호화 알고리즘의 하나 CVEs 심각도 내용 비고 CVE-2016-0800 높음 SSLv2를 이용한 TLS에 대한 프로토콜 간 공격 DROWN CVE-2016-0705 낮음 DFB, 발생 빈도 낮음 CVE-2016-0798 낮음 SRP 데이터베이스에서의 메모리 누수 CVE-2016-0797 낮음 널 포인터 역참조 및 힙 커럽션 CVE-2016-0799 낮음 고정 메모리 이슈 CVE-2016-0702 낮음 부채널 공격 CacheBleed CVE-2016-0703 높음 분할 정복 알고리즘 CVE-2016-0704 보통 Bleichenbacher 공격