「TLS 1.0無効化における障害は?」記事へのコメント

SSL/TLSが信用できない

[StandardIO (47182)]

なんやかんや言って安全じゃないじゃないですか。
もう止めましょうよ、古いhttpsなんか、
http 2.0に移行して新しい世界を作りましょう。

Re:

[Anonymous Coward]

HTTP/2は正にTLSを使っているわけですが…

Re:SSL/TLSが信用できない

[M-FalconSky (8868)]

まあ、文面はアレとして、単純にTLS1.1以上というだけではなく、安全な暗号スイートに絞る、という意味で「HTTP/2で～」というのはわからんでもない

# TLS1.3が策定されてれば、あーいうリスト(ホワイトリストだったかな)は不要だったらしいが、まにあわなかったからしゃーない
# 1.3でたらそれ以降はそっちに任せるんだったか。

--
M-FalconSky (暑いか寒い)

Re:SSL/TLSが信用できない

[M-FalconSky (8868)]

ああ、ここの説明がわかりやすいんだった。

https://lepidum.co.jp/blog/2014-12-11/HTTP2-922/ [lepidum.co.jp]

# おそらく本題じゃないけどコメントしちゃう

--
M-FalconSky (暑いか寒い)

Re:

[Anonymous Coward]

9.2.2問題は「アプリケーション層からTLS層の詳細が見えないのはAPIの不十分なTLSライブラリが悪い」みたいな発言まで飛び出してほんとひどかったな。むしろよい設計のレイヤ分けというのは他の層がやっていることにできるだけ関知しないようにするものだろ。

Re:SSL/TLSが信用できない

[M-FalconSky (8868)]

そういう意味だと、安全な暗号スイートについて柔軟に禁止やら導入やらが後からできないのが、プロトコルというか実装的に微妙ってのはあるかも。

# 論議の主軸はまっとうにそれぞれの責任を通せばよく、現状についてだけはケアはいる、で決着できててえらいな...

--
M-FalconSky (暑いか寒い)

Re:SSL/TLSが信用できない

[M-FalconSky (8868)]

# 補足
暗号スイートの列挙順で使う使わない/優先度設定はできるのはしってますが、そればっかりの問題でもないので、こう書いてます。

--
M-FalconSky (暑いか寒い)

Re:

[Anonymous Coward]

良いか悪いかはともかく、下位レイヤーの隠蔽を薄くして上位レイヤの自由度を上げるのは近年の流行りな気がしますね。

Re:

[Anonymous Coward]

とあるOpenFlow製品でL3の情報で条件文書いて、最後をデフォルト処理にしたら、ARPという謎のプロトコルの処理を忘れていて、目的の動作に出来ませんでした。
レイヤーをまたがって動作できるのは柔軟な反面、要求される知識レベルが多くなるので色々と大変です。
(念の為: ARPはもちろん知っていますが、IPアドレスにマッチしなかったIPパケットの処理のつもりで書いたのに他のフレームすべたが処理対象になってしまい、ちょっとレイヤーをまたがるというのは大変だなと感じた次第)