News
December 17, 2001

SSH SECURE SHELL ユーザーの脅威とはなり得ないタイミング分析による攻撃

暗号化接続経由でのパスワード送信に関する統計分析の成果が最近、カリフォルニア大学バークリー校の研究者によって発表されました。（http://paris.cs.berkeley.edu/~dawnsong/）
この研究者の提示した攻撃は、SSH Secure Shell のユーザーにとって現実的な脅威となるものではありません。その理由を以下に示します。

  • SSH Secure Shell では、ユーザーの通常のログイン パスワードは単独の暗号化パケットで送信されます。従って、暗号化されたトラフィックを監視してもパスワードの個々の文字 (キャラクタ) を読み取ることはできません。
  • SSH Secure Shell 3.0.0 以降のバージョンでは、パスワード パケットは固定長にパディング (データ埋め処理) されるため、バークリー校の研究者が論文で提示したような方法でパケット データの実際の長さを取得することは不可能です。
  • 他のアプリケーションやサーバーに対するパスワードが、確立された SSH Secure Shell 接続経由で直接入力される場合、このパスワードを入力タイミング分析で解析することは理論的には可能です。ただし、この手法は以下の理由により、現実的ではありません。

    -この手法による攻撃には、キーストローク タイミングについてユーザー毎の信頼性の高い参照データが必要であり、これを入手するにはユーザー自身の協力が必須です。
    -暗号化された接続のどの部分でパスワードが開始されているかは確立論的解析によって判断されますが、セッション内のパスワードの開始位置を誤認することにより、正確な分析が妨げられます。
    -当社の分析によれば、文字セットの限定なしに 8 キャラクタのパスワードに対する攻撃を行うには、概算で 120 テラバイト (120,000 ギガバイト) のメモリを必要とします。今後数年の間、この要件は非現実的と考えて差し支えありません。
  • たとえ攻撃が実行され、成功したとしても、パスワード 1 文字分程度の情報しか取得できない手法には、50 の鍵長を持つパスワードを素因数分解手法で攻撃する際に鍵長をわずかに短くする程度の意味しかありません。8 文字のパスワードを 7 文字にまで縮め得たとしても、残り 7 文字を正しく推論できなければ意味を成さないのです。
SSH Secure Shell は、分析的手法による攻撃では侵し得ない高度な認証手法を組み込んだ先進の製品です。確立された接続経由で他のマシンに接続している際にも、RSA 認証および SSH Authentication Agent によりセキュリティの確保されたログインおよびシングルサインオンが可能な環境が提供されます。SSH Secure Shell を SSH Certifier と組み合わせて使用することで、従来のパスワードの弱点を完全に克服した、セキュリティトークンや電子署名ベースの認証インフラストラクチャを構築できます。

© 2003 SSH Communications Security Corp. All rights reserved. ssh ® は、アメリカ合衆国及びその他の地域において、SSH Communications Security Corp の登録商標です。また、本文中に記載されている製品名は各社もしくは各団体の商標あるいは登録商標です。