「クロスプロトコル攻撃が可能となるSSLv2の脆弱性「DROWN」」記事へのコメント

述べられている危険性がDROWN以前の問題のような

[minet (45149)]

TLSをサポートするサーバーとクライアントとの間では、SSLv2が有効になっていても実際の通信に使われることはないため、サーバーによるSSLv2のサポートはセキュリティーリスクとみなされていなかった。

の一文にビックリ。
要求されさえすればいつでも脆弱なプロトコルで応えるようになっていることが、なぜリスクにならないと考えられるのか…。
世のサーバー管理者のセキュリティ意識ってそんなものなの…違うよね？
SSLv2のリスクが小さい（許容できる）と見ていたとしても、それは「有効になっていても通信に使われることはないため」が理由じゃないよね？
ってかこれはDROWN以前のセキュリティ一般論だよね？

秘密鍵を共有する他のサーバーでSSLv2を有効化して

Re:

[Anonymous Coward]

XPの呪縛に囚われている可愛そうな人もいるんじゃね。
IE6のデフォルト設定だと、SSLv2 までしか使えないんだよね。
設定変えればいいんだけど。未だにXP使ってるのが設定変更できるだろうか。

あとガラケーの類

Re:

[Anonymous Coward]

XPの既定はSSLv3までだよ。息を吐くように嘘つくな。

Re:述べられている危険性がDROWN以前の問題のような

[Anonymous Coward]

あとガラケーも。今どきSSLv2を有効にする必要などまったくないと断言して差し支えない。