IPsec通信の設定に存在する脆弱性

IPsec 通信で、機密性 (Confidentiality) 保護のみ設定し、完全性 (Integrity) 保護を未設定の場合に発生する脆弱性により、遠隔の第三者がIPsec 通信の内容を取得する可能性

報告日

2005/05/20

SEILシリーズの該当状況

以下のバージョンにおいて影響を受けます。

機種 バージョン
SEIL/Turbo 1.00 - 1.51
SEIL/neu 2FE Plus 1.00 - 1.51
SEIL/neu ver.2.x 2.00 - 2.27
SEIL/neu ver.1.x 1.52 - 1.93
SEIL/neu ATM 1.10 - 1.39

SEILシリーズへの影響内容

本脆弱性は、IPsec 通信時に 機密性 [Confidentiality] 保護 (SEIL シリーズでは "暗号化" と呼称) のみ設定し、完全性 [Integrity] 保護 (SEIL シリーズでは "認証") を未設定の場合に発生し得るものです。

  1. IKE を用いる IPsec 通信について

    • 影響ない範囲

      1. IKEを用いるIPsec通信全般

    • SEIL の仕様上、IKE を用いる IPsec 通信においては、AH 利用の有無に関わらず ESP 認証オプションを省略できません。つまり、IPsec/IKE通信においては常に認証 (完全性保護) を行うため、本脆弱性の影響を受けません。

  2. 手動鍵交換による IPsec 通信について

    • 手動鍵交換による IPsec 通信では、認証（完全性保護）を省略可能です。SEIL シリーズでは、認証を省略し、かつ、特定の条件を満たす場合のみ影響を受けることが判明しています。

    • なお、認証を省略した設定では、本脆弱性の影響に関わらず、セキュリティレベルの大幅な低下が生じます。 手動鍵交換によるIPsec通信では、過去のファームウェアとの互換性のため、認証無しの設定が可能ですが、AH + ESPまたはESP認証が有効な設定を強く推奨します。

    1. 影響ない範囲

      • 以下の攻撃については、手動鍵交換による IPsec 通信でも影響を受けません。

        1. 秘匿されている IP ヘッダの宛先アドレスの改ざん

          • Bit-flipping (ビット反転) 攻撃では、遠隔の第三者による、秘匿されている IP ヘッダの改ざんが懸念されます。 しかし、改ざん可能な範囲は限定的で、また、機器の仕様および設定内容に依存します。

          • SEIL の IPsec 機能は、仕様上、IP ヘッダの宛先アドレスを改ざん可能な範囲に含みません。 このため、本脆弱性の影響は受けません。

        2. 秘匿されている IP ヘッダのヘッダ長の改ざん

          • SEIL は、IPsec で保護されているパケットに関して復号化後にエラーを検出しても、 ICMP エラーメッセージは一切生成しません。 このため、遠隔の第三者が、通信先の解析を意図して IP ヘッダ内のヘッダ長フィールドを改ざんしても、 SEIL は ICMP エラーメッセージを生成せず、本脆弱性の影響は受けません。

    2. 限定条件下で影響のある範囲

      1. 秘匿されている IP ヘッダのプロトコル番号の改ざん

        • 以下の条件をすべて満たす場合、本脆弱性の影響を受けます。

          1. 手動鍵交換を用いる IPsec 通信を行っていること

          2. 暗号アルゴリズムに AES (Rijndael) を用いていること

          3. ESP 認証、および、AH のいずれも用いていないこと

          4. IPsec セキュリティポリシーで、送信先に any (全て) を設定していること

        • ex.) # ipsec security-policy add SP dst any .... この場合、秘匿されている IP ヘッダのプロトコル番号、および送信元 IP アドレスの改ざんが可能になります。

影響範囲

LAN 内のホストが改ざんされた IPsec パケットを受信すると、遠隔の第三者により書き換えられた送信元 IP アドレスに対して ICMP 到達不能メッセージ[ICMP Destination Unreachable Message] を送信する可能性があります。 ICMP 到達不能メッセージにより漏洩する可能性がある情報は以下の通りです。

SEILシリーズにおける対応

今後のファームウェアで、問題となる設定に対して警告を出すように仕様を変更する予定です。 (*)リリース時期は現在のところ未定です。 また、影響のある設定を現在運用中の場合、次の設定変更適用を強く推奨します。

関連情報

  1. JP Vendor Status Notes NISCC-004033

  2. US-CERT Vulnerability Note VU#302220

© Internet Initiative Japan Inc.