アカウント名:
パスワード:
RFC7465でTLSでのRC4利用が禁止されています。https://tools.ietf.org/html/rfc7465 [ietf.org]
RC4は生成ストリームに統計的な偏り、弱い鍵があり暗号文から検出可能、と暗号としてかなり破綻しているので互換性が必要なら3DES使いましょう。
SSL 3.0と違って、RC4は各ブラウザがサポート終了に苦戦中。https://ja.wikipedia.org/wiki/Template:%E3%82%A6%E3%82%A7%E3%83%96%E3%... [wikipedia.org]
たとえばFirefoxはホワイトリスト方式にしようとしたようだけど、脆弱なサイトのリストの山が出来上がっただけみたい。https://bugzilla.mozilla.org/show_bug.cgi?id=1138101 [mozilla.org]
昔はSSLの鍵マークが目印だったけど、接続の安全レベルを表示するインジケータ用意すりゃいいんじゃないかな。
分類は、危険、警戒、安全(低)、安全(高)の4段階あたりで、捏造・改竄が明らかな場合や異常な設定(無暗号化SSL/TLS)などは危険、HTTPの場合や証明書の期限切れやプロトコルが脆弱な場合は警戒、推奨の暗号強度が適切に保たれていれば安全(低)、ユーザの操作で証明書が明確にインストールされた場合は安全(高)、みたいな。
オレオレ証明書はHTTPと同等にすべきかそれ以下にすべきかちょい悩ましいが、暗号強度が足りてない・強度面で非推奨なだけならHTTPと同じ扱いで良いと思う。どーせ最近はアドレスバーのスキーム欄隠すのが主流なんだし、ノーガードのHTTPから脆弱とはいえHTTPSにすると警告が増えるって時点でどうかと思うわ。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
私は悩みをリストアップし始めたが、そのあまりの長さにいやけがさし、何も考えないことにした。-- Robert C. Pike
TLS移行時はRC4の廃止もあわせてお願いします (スコア:2)
RFC7465でTLSでのRC4利用が禁止されています。
https://tools.ietf.org/html/rfc7465 [ietf.org]
RC4は生成ストリームに統計的な偏り、弱い鍵があり暗号文から検出可能、と暗号としてかなり破綻しているので互換性が必要なら3DES使いましょう。
Re:TLS移行時はRC4の廃止もあわせてお願いします (スコア:1)
SSL 3.0と違って、RC4は各ブラウザがサポート終了に苦戦中。
https://ja.wikipedia.org/wiki/Template:%E3%82%A6%E3%82%A7%E3%83%96%E3%... [wikipedia.org]
たとえばFirefoxはホワイトリスト方式にしようとしたようだけど、脆弱なサイトのリストの山が出来上がっただけみたい。
https://bugzilla.mozilla.org/show_bug.cgi?id=1138101 [mozilla.org]
Re: (スコア:0)
昔はSSLの鍵マークが目印だったけど、接続の安全レベルを表示するインジケータ用意すりゃいいんじゃないかな。
分類は、危険、警戒、安全(低)、安全(高)の4段階あたりで、
捏造・改竄が明らかな場合や異常な設定(無暗号化SSL/TLS)などは危険、
HTTPの場合や証明書の期限切れやプロトコルが脆弱な場合は警戒、
推奨の暗号強度が適切に保たれていれば安全(低)、
ユーザの操作で証明書が明確にインストールされた場合は安全(高)、みたいな。
オレオレ証明書はHTTPと同等にすべきかそれ以下にすべきかちょい悩ましいが、
暗号強度が足りてない・強度面で非推奨なだけならHTTPと同じ扱いで良いと思う。
どーせ最近はアドレスバーのスキーム欄隠すのが主流なんだし、
ノーガードのHTTPから脆弱とはいえHTTPSにすると警告が増えるって時点でどうかと思うわ。