相信各位關注資安的 unwire.pro 讀者都對早前被揭發的嚴重 SSL 漏洞 FREAK 記憶猶新；在 FREAK 仍需一段時間補各廠商修補的時候，資安業界再一次揭露一種危險程度可與之媲美的重大漏洞：「 LogJam」。
或影響全球數百萬部伺服器
日前由 University of Michigan、The Johns Hopkins University、Microsoft 研究中心、 Inria Paris-Rocquencourt 等多方組成的研究團隊發現一個類似於 FREAK 的 SSL 加密安全漏洞；被他們名為 LogJam 的漏洞或對全球數百萬部伺服器均構成影響。
LogJam 主要出現於 Diffie-Hellman key exchange 加密演算法中，令 HTTPS、SSH、IPSec 及 SMTPS 等網絡協定產生共用的加密金鑰，從而建立安全連線。而 LogJam 漏洞就因黑客提供了發動中間人攻擊的機會：LogJam 的情況與早前爆發的 FREAK 近似，主要分別為其漏洞出現於 TLS 協定上，而非實際運作過程。
資安服務供應商 Tripwire 指 LogJam 的漏洞成因為與 FREAK 同樣，因美國政府 90 年代禁止輸出高規格加密標準的管制，導致伺服器採用較弱、長度較短的 512-bit 金鑰所致。
研究人員指 LogJam 將影響任何支援 DHE_EXPORT 密碼的伺服器與所有現代瀏覽器，當中包括最新版的 IE、Chrome、Firefox、Safari 等。估計全球前 100 萬網域中達 8.4% 網域均受影響，而 HTTPS 網站亦有 3.4% 受波及。
對此，趨勢科技表示一般用戶只需要保持瀏覽器為最新版本就可以；軟件開發人員就要確保應用程式內捆綁的函式庫為最新版本，亦可以為金鑰交換設定更大的質數。
而系統受 LogJam 的 IT 管理員就應先關閉所有對出口密碼套件的支援，以確保相關密碼套件無法再被使用。其次應將 Diffie-Hellman 金鑰交換所用的質數提高至 2048 bits，以提升黑客破解所需的資源及門檻。
Source：weakdh.org、Trend Micro、The Next Web
