OpenSSL Security Advisoryから- バイトのレコードパディングOracle(CVE-2019-1559)
これを悪用するには、「ステッチされていない」暗号スイートを使用する必要があります。
「ステッチされていない」暗号スイートとは何ですか?
次の文は簡単な説明です:
ステッチド暗号スイートは、一般的に使用される特定の暗号スイートの最適化された実装です。
グーグル、この用語は、 OpenSSL *パフォーマンスの向上 でより適切に説明されています---これは、用語のソースとして Function Stitchingを介したIAプロセッサーでの高速暗号計算 を引用しています。見つける:
「関数スティッチング」と呼ばれる方法を使用して、IAプロセッサでこのような関数のペアを計算する高速で効率的な方法を紹介します。アプリケーション/ライブラリで現在行われているように関数のペアを順次計算する代わりに、関数呼び出しを、両方のアルゴリズムを実装する複合関数への1回の呼び出しに置き換えます。この複合関数の実行時間は、個々の関数の実行時間の合計よりも大幅に短くすることができ、多くの場合、遅い関数の実行時間に近づけることができます。
最初の論文で説明したように、ここで「ステッチ」される2つの機能は、暗号化機能と認証機能であり、両方を同時に実行するのではなく、両方を同時に実行します。
「ステッチされていない」実装は、この種のパフォーマンス最適化を利用しない実装です。