ダウングレード攻撃

ダウングレード攻撃は、入札ダウン攻撃^{[ 1 ]}またはバージョンロールバック攻撃とも呼ばれ、コンピュータシステムまたは通信プロトコルに対する暗号攻撃の一種で、通常、古いシステムとの後方互換性のために提供される、高品質の動作モード（暗号化された接続など）を放棄させ、より古い低品質の動作モード（平文など）に切り替えさせます。 ^{[ 2 ]}このような欠陥の例として、OpenSSLで、攻撃者がクライアントとサーバー間でTLSの低バージョンを使用するように交渉できる脆弱性が発見されました。 ^{[ 3 ]}これは、最も一般的なタイプのダウングレード攻撃の1つです。STARTTLSなどの機会主義的暗号化プロトコルは、設計上、暗号化されていない通信にフォールバックするため、一般的にダウングレード攻撃に対して脆弱です。暗号化されていないHTTPから暗号化されたHTTPSへのリダイレクトに依存するWebサイトも、最初のリダイレクトが暗号化によって保護されていないため、ダウングレード攻撃（sslstripなど）に対して脆弱になる可能性があります。^{[ 4 ]}

ダウングレード攻撃は、中間者攻撃（MITM攻撃）の一部として実行されることが多く、そうでなければ不可能な暗号攻撃を可能にする手段として使用されることがあります。^{[ 5 ]}ダウングレード攻撃は、SSL/TLSプロトコルファミリーで一貫して問題となっており、そのような攻撃の例としてはPOODLE攻撃 などがあります。

TLS プロトコルにおけるダウングレード攻撃にはさまざまな形態があります。^{[ 6 ]}研究者たちは、ダウングレード攻撃を 4 つの異なるベクトルに関して分類しており、これはダウングレード攻撃について推論するためのフレームワークを表しています。^{[ 6 ]}

TLSクライアント（Webブラウザなど）が、POODLE、ClientHelloフラグメンテーション^{[ 9 ] [ 10 ]}、DROWN（別名「スペシャルドローン」）ダウングレード攻撃の変種など、クライアントのレガシーバージョンや推奨されていない暗号スイート（前方秘匿性や認証付き暗号化をサポートしていないものなど）のサポートを悪用する特定のタイプのダウングレード攻撃から機密ドメイン名を保護できるようにする最近の提案^{[ 7 ] [ 8 ]}がいくつかあります。

下位互換性を削除することが、ダウングレード攻撃を防ぐ唯一の方法となる場合が多い。しかし、クライアントとサーバーが互いを最新の状態であると認識し、攻撃を防ぐことができる場合もある。たとえば、Webサーバーとユーザーエージェントの両方がHTTP Strict Transport Securityを実装しており、ユーザーエージェントがサーバーについてこれを認識している場合（以前にHTTPS経由でアクセスしたことがある場合、または「HSTSプリロードリスト」^{[ 11 ] [ 12 ] [ 13 ]}にある場合）、悪意のあるルーターがサーバーとユーザーエージェントの間でHTTPSに対応していないと認識させている場合でも、ユーザーエージェントは通常のHTTP経由でサイトにアクセスすることを拒否する。

• サイドチャネル攻撃