暗号化の欠陥

OpenSSL 暗号化ルーチンの不適切な使用に関連する欠陥

これらの欠陥は OpenSSL ライブラリの暗号化ルーチンの不適切な使用に関連しています。次に例を示します。

  • 暗号化の脆弱なアルゴリズムの使用

  • 暗号キーや暗号初期化ベクトルなどの基本要素の欠如

  • 不適切な順序の暗号化操作

Polyspace 結果

すべて展開する

定数のブロック暗号初期化ベクトルランダム化されていない定数の初期化ベクトル
定数の暗号キーランダム化されていない定数の暗号化キーまたは復号化キー
不整合な暗号操作途中で再初期化を伴わず、同じ暗号コンテキストを使って連続して暗号化と復号化のステップを実行している
ブロック暗号初期化ベクトルがありません暗号化または復号化に使用されるコンテキストが NULL 初期化ベクトルに関連付けられているか、初期化ベクトルと関連付けられていない
暗号アルゴリズムがありません暗号化または復号化のアルゴリズムが暗号コンテキストに関連付けられていない
処理する暗号データがありません前に更新ステップを行わずに、暗号化または復号化の最終ステップを実行している
暗号化の最終ステップがありませんデータの暗号化または復号化の更新ステップ後に最終ステップを実行していない
暗号キーがありません暗号化または復号化に使用されるコンテキストが NULL キーに関連付けられているか、キーと関連付けられていない
予測可能なブロック暗号初期化ベクトル初期化ベクトルを脆弱な乱数発生器から生成している
予測可能な暗号キー暗号化または復号化のキーを脆弱な乱数発生器から生成している
脆弱な暗号アルゴリズム暗号コンテキストに関連付けられた暗号化アルゴリズムが脆弱
脆弱な暗号モード暗号コンテキストに関連付けられた暗号化モードが脆弱
コンテキストが暗号化操作用に正しく初期化されていません公開鍵の暗号化操作に使用されるコンテキストが別の操作用に初期化されている
暗号化アルゴリズムのキーが正しくありません公開鍵の暗号化操作が、コンテキストの初期化で使用されたアルゴリズムでサポートされていない
暗号化、復号化または署名操作用のデータが見つかりません公開鍵暗号化操作用に指定されたデータが NULL であるか、データの長さがゼロである
キー生成のパラメーターが見つかりませんキー生成に使用されるコンテキストが NULL パラメーターに関連付けられている
ピア キーが見つかりません共有秘密の導出に使用されるコンテキストが、NULL ピア キーに関連付けられているか、ピア キーにまったく関連付けられていない
秘密鍵が見つかりません暗号化操作に使用されるコンテキストが、NULL 秘密鍵に関連付けられているか、秘密鍵にまったく関連付けられていない
公開鍵が見つかりません暗号化操作に使用されるコンテキストが、NULL 公開鍵に関連付けられているか、公開鍵にまったく関連付けられていない
キー生成のパラメーターがセキュリティで保護されていませんキー生成に使用されるコンテキストが脆弱なパラメーターに関連付けられている
RSA アルゴリズム演算のパディングに互換性がありませんコンテキストに設定されたパディング タイプで暗号化操作がサポートされていない
RSA アルゴリズムのブラインディングが見つかりません復号化または署名検証で使用されるコンテキストがタイミング攻撃に対してブラインディングされていない
RSA アルゴリズムのパディングが見つかりません暗号化または署名操作で使用されるコンテキストがパディングと関連付けられていない
RSA 公開指数がセキュリティで保護されていませんキー生成で使用されるコンテキストが低い指数値に関連付けられている
RSA アルゴリズムのパディングが脆弱です暗号化または署名操作で使用されるコンテキストが安全ではないパディング タイプと関連付けられている
コンテキストがダイジェスト操作用に正しく初期化されていませんダイジェスト操作に使用されるコンテキストが別のダイジェスト操作用に初期化されている
更新操作のハッシュ後に最終ステップがありませんハッシュが不完全かセキュリティで保護されていない
ハッシュ アルゴリズムがありませんEVP ルーチン内のコンテキストがハッシュ アルゴリズムなしで初期化されている
ハッシュ演算のソルトがありませんハッシュされたデータはレインボー テーブル攻撃に対して脆弱
コンテキストに追加されたデータはありません空のコンテキストに対するハッシュ演算の実行によってランタイム エラーが発生する可能性がある
ハッシュ アルゴリズムがセキュリティで保護されていませんメッセージ ダイジェストの作成に使用されるコンテキストが脆弱なアルゴリズムに関連付けられている
認証機関リストが見つかりません認証のための証明書が信頼できない
X.509 証明書用の秘密鍵が見つかりませんキーが見つからない場合は、ランタイム エラーまたはセキュリティで保護されていない暗号化が発生する可能性がある
X.509 証明書が見つかりませんサーバーまたはクライアントが認証できない
SSL/TLS プロトコルがセキュリティで保護されていませんSSL/TLS 接続の処理に使用されるコンテキストが脆弱なプロトコルに関連付けられている
サーバー証明書の共通名が確認されていません攻撃者が有効な証明書を使用して信頼できるホストになりすます可能性がある
TLS/SSL 接続方法が設定されていませんプログラムで、クライアントとサーバーのどちらのルーチンを呼び出すかが判断できない
TLS/SSL 接続方法の設定が正しくありませんプログラムが接続メソッドによって設定された役割と一致しない関数を呼び出す
X.509 ピア証明書が確認されていません接続が中間者攻撃に対して脆弱な可能性がある

トピック

  • Bug Finder 欠陥グループ

    Bug Finder の欠陥チェッカーは、データ フロー、同時実行、数値などのグループに分類されています。