ダウングレード攻撃

ダウングレード攻撃は、ビッドダウン攻撃^[1]またはバージョンロールバック攻撃とも呼ばれ、コンピュータシステムまたは通信プロトコルに対する暗号攻撃の一種で、高品質の動作モード（暗号化された接続など）を放棄し、通常は古いシステムとの下位互換性のために提供されている、古くて低品質の動作モード（クリアテキストなど）に切り替える攻撃です。 ^[2]このような欠陥の例は、OpenSSLで発見され、攻撃者がクライアントとサーバーの間でより低いバージョンのTLSの使用をネゴシエートできました。^[3]これは、最も一般的なタイプのダウングレード攻撃の1つです。STARTTLSなどの日和見暗号化プロトコルは、設計上、暗号化されていない通信にフォールバックするため、一般にダウングレード攻撃に対して脆弱です。 暗号化されていないHTTPから暗号化されたHTTPSへのリダイレクトに依存するWebサイトも、最初のリダイレクトが暗号化によって保護されていないため、ダウングレード攻撃（sslstripなど）に対して脆弱です。^[4]

ダウングレード攻撃は、中間者（MITM）攻撃の一部として実装されることが多く、他の方法では不可能な暗号化攻撃を可能にする方法として使用されることがあります。^[5] ダウングレード攻撃は、SSL/TLS ファミリーのプロトコルで一貫して問題となっており、このような攻撃の例としては、POODLE攻撃などがあります。

TLSプロトコルにおけるダウングレード攻撃にはさまざまな形態があります。^[6]研究者は、ダウングレード攻撃を4つの異なるベクトルに分類しており、これはダウングレード攻撃を推論するためのフレームワークを表しています。^[6]

最近の提案^{[7] [8]では、}事前知識の概念を利用して、TLS クライアント (Web ブラウザーなど) が、POODLE、ClientHello フラグメンテーション、[9] [10]、および DROWN (別名「特別な drown」 ⁾ダウングレード攻撃の変種など、クライアントのレガシー バージョンまたは非推奨の暗号スイート (前方秘匿性や認証された暗号化をサポートしていないものなど) のサポートを悪用する特定の種類のダウングレード攻撃から機密ドメイン名を保護できるようにするものがあります。^{[説明が必要]}

多くの場合、下位互換性をなくすことがダウングレード攻撃を防ぐ唯一の方法です。しかし、クライアントとサーバーが互いを最新であると認識し、攻撃を阻止できる場合もあります。たとえば、Web サーバーとユーザー エージェントの両方がHTTP Strict Transport Securityを実装しており、ユーザー エージェントがサーバーについてこれを知っている場合 (以前に HTTPS 経由でアクセスしたことがあるため、または「HSTS プリロード リスト」^{[11] [12] [13]}に含まれているため)、悪意のあるルーターがユーザー エージェントとサーバーが HTTPS 非対応であると互いに認識したとしても、ユーザー エージェントはバニラ HTTP 経由でのサイトへのアクセスを拒否します。

• サイドチャネル攻撃