「Firefox 64リリース、シマンテックの証明書が無効に」記事へのコメント

このへんも関係あるのかな？

[Anonymous Coward]

https://twitter.com/jstage_ej/status/1072773871353311234 [twitter.com]
https://twitter.com/uwabami/status/1073061125762084865 [twitter.com]

Re:このへんも関係あるのかな？

[Anonymous Coward]

J-STAGEがFirefoxでのアクセスを遮断、日本の電子ジャーナルが世界から不可視となった日
https://note.mu/note_s/n/n517ff243e083 [note.mu]

Re:

[Anonymous Coward]

証明書入れ替えで設定ミスったのかな？あるっちゃあるのかも。
繋いでみたけどFirefoxで普通に入れたけどな。

Re:このへんも関係あるのかな？

[manmos (29892)]

いや、cipher suitで(EC)DHE-RSAを使えばいいだけの話。
証明書はRSAのままで鍵交換だけDiffie-Hellman系にするだけ。(証明書は鍵長もsignatureも十分に長いです。CAはDigiCert)

試してみましたが、ECDHE-RSA-AES128などをproposeしてもつながりませんね。
普通につなぐとAES256-GCM-SHA384になる。TLS1.2以上のcipersuitだからECDHEにするのは多分設定だけ。

Re:

[Anonymous Coward]

鍵交換でRSAしか受け付けないようになってるからでは？ってリプ付いてるだろ。
だから設定かなって言ってるのに何が「いや」なのかさっぱり。
てかなんで俺のFirefoxは普通に入れるんだ。そこを教えてくれ。

Re:このへんも関係あるのかな？

[Anonymous Coward]

Firefoxの場合 [ssllabs.com]、基本的に鍵交換はECDHEじゃないとダメっぽくて、RSAじゃ受け入れないっぽい。
ただし、互換性のためのTLS_RSA_WITH_AES_256_CBC_SHAが有効になっており、かつJ-stageもそれを再有効化したので(一番弱い方式で)つながるようになったみたいですね。

まぁ、ECDHEを有効にするのが対応としては良いと思いますが、HWでTLS/SSL対応とかしてると、そう簡単には対応できないかな。

Re:このへんも関係あるのかな？

[Anonymous Coward]

てかなんで俺のFirefoxは普通に入れるんだ。そこを教えてくれ。

TLS_RSA_WITH_AES_256_GCM_SHA だった(未確認)のが、
TLS_RSA_WITH_AES_256_CBC_SHA になってつながるようになったみたいです。

https://twitter.com/uwabami/status/1073109389349871616 [twitter.com]

Re:

[Anonymous Coward]

証明書の入れ替えじゃなくてTLS1.0/1.1無効化作業での(おそらく見識不足が原因の)ミスだから
「証明書入れ替えで設定ミスった」ではないっていう指摘なんじゃないの？

Re:

[Anonymous Coward]

J-STAGE [jst.go.jp]は、現時点では信頼される署名 [ssllabs.com]が適用されているようです。