ネットワークセキュリティのPOODLE（プードル）脆弱性とは？仕組みと対策を徹底解説

POODLEとは何か？

POODLEは「Padding Oracle On Downgraded Legacy Encryption（ダウングレードされたレガシー暗号化におけるパディングオラクル）」の略称です。2014年、Googleのセキュリティ研究者であるBodo Möller氏、Thai Duong氏、Krzysztof Kotowicz氏によって発見され、その詳細は公開された論文（PDF）で確認できます。

POODLE攻撃は何をするのか？

攻撃者はPOODLE脆弱性を悪用することで、暗号化された通信の内容を読み取ることが可能になります。これにより、インターネット上で送受信されるパスワードやセッションCookieなどの機密データを盗み出し、被害者になりすますといった被害が発生します。

TLSはPOODLEの影響を受けるのか？

SSL 3.0に対応しているサーバーはPOODLE攻撃の標的となります。また、TLS 1.0以前のバージョンでも、CBCモードの暗号スイートを使用している場合は同様の攻撃が成立する可能性があります。一方、TLS 1.1およびTLS 1.2は安全なバージョンとされており、現在の主要ブラウザはSSL 3.0など旧バージョンを使うサイトへの接続をブロックしています。さらに、TLS_FALLBACK_SCSVと呼ばれる仕組みにより、攻撃者による意図的なプロトコルのダウングレードも防止されます。

POODLE対策の設定とは？

POODLEは「ダウングレードされたレガシー暗号化」を狙う攻撃であるため、対策の基本はサーバー側でSSL 3.0を無効化することです。SSL 3.0を無効にしておけば、仮に攻撃者が通信のダウングレードを試みても、ブラウザがSSL 3.0へフォールバックすることはありません。その結果、POODLE攻撃は成立しなくなります。

TLS 1.0もPOODLEに対して脆弱なのか？

当初、POODLE脆弱性はSSL 3.0にのみ影響すると考えられていました。しかし、その後の調査で、ブラウザとSSLで保護されたウェブサイト間の通信を漏洩させるこの脆弱性が、一部のTLS 1.0接続にも存在することが判明しました。ただし、これはTLS 1.0の仕様そのものの欠陥ではなく、実装上の問題によるものです。

「プードル」という言葉の俗語的な意味

政治の世界で「プードル」という言葉が使われる場合、それは他者の指示や政策に盲目的かつ受動的に従う政治家を指すことがあります。いわゆる「手先」や「御用聞き」に相当する扱いであり、従順で受け身な犬というプードルのイメージに由来する比喩表現です。

プードルは実際に存在する言葉（犬種）なのか？

プードルはフランスの国犬として知られていますが、その起源は実はドイツにあります。名前の由来は、ドイツ語で「水しぶき」を意味する「Pudel」という言葉です。そのため「フレンチ・プードル」という呼び名はやや誤解を招きます。フランスではこの犬種は「カニッシュ（Caniche）」と呼ばれ、これは「アヒル猟犬」を意味します。