「SSL3.0/TLS1.0 に脆弱性」記事へのコメント

SSL 3.0/TLS 1.0で可能な対策を考案中

[Anonymous Coward]

https://bugzilla.mozilla.org/show_bug.cgi?id=689661 [mozilla.org]
パッチが完成したらFirefox 7.0.1とChromeのアップデートが来ると思われる。
Operaは実は11.51で対応していたらしい。

Re:SSL 3.0/TLS 1.0で可能な対策を考案中

[Anonymous Coward]

あれ？09/28付けでFirefox本体は影響受けないって公言されてたぞ？？？
※アドオンは影響を受ける
http://mozilla.jp/blog/ [mozilla.jp]

# NSS自体の穴はかわせる仕組みってことかな
# タブ・ウィンドウ間やクロスサイトでのクッキー読み書き禁止とか
# NSS部分の入れ替えというアップデートはあると思うけど
# ニュアンスはちょっと違うよね

Re:SSL 3.0/TLS 1.0で可能な対策を考案中

[Anonymous Coward]

簡単に言うと
・現時点でもFirefox本体は影響をうけるようなNSSの使い方をしていない
・どんな使い方をしても安全なように(将来の新しいプロトコルでうっかり脆弱性を作り込む心配がないように)NSS自体の改善を提案中
ということ。ただしJavaのURLConnectionはFirefox本体のNSSと関係なく完全に独自に通信しているので、Oracleが修正してくれない限り救えない。

Re:SSL 3.0/TLS 1.0で可能な対策を考案中

[Anonymous Coward]

うんだから元コメへ突っ込みしたのですよ

パッチが完成したらFirefox 7.0.1とChromeのアップデートが来ると思われる。
Operaは実は11.51で対応していたらしい。

これじゃFirefox本体も影響をうけるようにしか読めないもの。
IEについては触れていないけど影響を受ける。

現状、影響を受けないのは、
OperaとアドオンなしFirefoxってことで。

# アドオンなしFirefoxは現実的じゃないから
# Firefoxも未対応とみなしてもいいけど
# 補足は必要でしょ？＋モデついてるならなおのこおと。

Re:

[Anonymous Coward]

javascript中のXHRも影響を受けるんですか？
Firefoxでは影響を受けるのはOracleのJavaだけなんじゃないの？
Java Pluginを導入してないFirefoxなら普通に実用的ですけど・・・