SSL TLS 関係・対応のいろいろ ( No.11 ) |
- 日時: 2014/11/10 15:59
- 名前: o6asan
- SSL 関係の接続できない騒ぎでは,こんなのもありました。
【重要】パソコンでインターネット投票サイトにログインできない方へ http://jra.jp/dento/info/2014/1102.html
添付ファイルのようなところに記載があるのですが,なかなか気づきそうにないですね。
他のサイトでもこういうお知らせはしているのでしょうか。
|
Re: SSL TLS 関係・対応のいろいろ ( No.12 ) |
- 日時: 2014/11/10 16:16
- 名前: june
- 皆様 こんにちは
>SSL 関係の接続できない騒ぎでは,こんなのもありました。 私はクラブパナソニックからのメールで知りました。 クラブパナソニックでは普通に注意書きがあります。 http://club.panasonic.jp/
実のところ何のことかわからずにいます。 ブラウザの設定はIE、chrome、firefoxともSSL3のチェックは外してます。 これで良いのでしょうか?
|
Re: SSL TLS 関係・対応のいろいろ ( No.13 ) |
- 日時: 2014/11/10 17:11
- 名前: くりくり
- juneさんこんにちは
>これで良いのでしょうか?
はい。 firefoxは今月、chrome数ヶ月以内に sslv3をサポートしなくなることを発表しています。 ieも似たような動きをとるでしょう。
|
Re: SSL TLS 関係・対応のいろいろ ( No.14 ) |
- 日時: 2014/11/10 17:31
- 名前: june
- くりくり様 ありがとうございます。
お返事をいただき安心しました。
有名どころのブラウザではデフォルトでSSL3を使わないようになるんですね。
|
Re: SSL TLS 関係・対応のいろいろ ( No.15 ) |
- 日時: 2014/11/10 19:03
- 名前: o6asan
- こんばんは。
> firefoxは今月、chrome数ヶ月以内にsslv3をサポートしなくなることを発表しています。
なんですが,それまでの間に合わせの方法。 インターネットエクスプローラーについてしか書いていないところが多いので。
FireFoxについて アドオン SSL Version Control を使う。 https://addons.mozilla.org/ja/firefox/addon/ssl-version-control/
Chromeについて ショートカットを作る。ショートカットのプロパティを開き,「リンク先(T):」の窓内の"の後に --ssl-version-min=tls1 を追加する。先頭に半角スペースを忘れないこと。Chromeの起動には,このショートカットを使う。
というようなことで対策出来ます。
|
Re: SSL TLS 関係・対応のいろいろ ( No.16 ) |
- 日時: 2014/11/11 07:22
- 名前: りり
- SSL 3.0 の脆弱性問題、
https://www.ipa.go.jp/security/announce/20141017-ssl.html http://qiita.com/kuni-nakaji/items/5118b23bf2ea44fed96e
「POODLE」がらみ http://www.itmedia.co.jp/news/articles/1410/15/news054.html
一般の方からしても、認証を必要とする、ログインページなどが、変更されてくるとということですね?
|
Re: SSL TLS 関係・対応のいろいろ ( No.17 ) |
- 日時: 2014/11/11 09:00
- 名前: くりくり
- poodleはsslというプロトコルの問題です。
FireFoxはリリース11月25日予定の次期バージョンでsslのサポートをやめるといってます。
>ログインページなどが、変更されてくるとということですね?
ユーザー側の対処方法ですが、 デジタル証明書の問題は他のブラウザを使えば問題ありません。 poodleの場合はsslの無効化しtlsのみ有効にすればいいでしょう。 その方法が http://www.itmedia.co.jp/news/articles/1410/15/news054.html
|
Re: SSL TLS 関係・対応のいろいろ ( No.18 ) |
- 日時: 2014/11/11 09:05
- 名前: りり
- うちは、SSL3のチェックが入っていました。
外してみます。
そうすると… こちらのリンク先にある http://www.itmedia.co.jp/news/articles/1410/15/news054.html
> SSL 3.0は15年前の古いバージョンではあるが、いまだにこのバージョンを使っているWebサイトが多数あるという。また、Webブラウザのほとんどは、HTTPSサーバのバグによりページに接続できない場合、SSL 3.0を含む旧版のプロトコルでリトライするという形でSSL 3.0もサポートしている。
ということで、どこかのHTTPSサーバで、接続できない事態が発生するかもしれないんですね?
チェックを外して様子を見てみます。
|
Re: SSL TLS 関係・対応のいろいろ ( No.19 ) |
- 日時: 2014/11/11 09:24
- 名前: りり
- あっ、くりくりさん、まだ良く分からないのですが
>SSL 3.0に深刻な脆弱性「POODLE」見つかる
ということで、「POODLE」絡みで、SSL 3.0の脆弱性が大事になり、FireFoxも仕様変更してくるということではないですか? http://www.itmedia.co.jp/news/articles/1410/15/news054.html
まあ、時系列の問題でもありますが
米Googleのセキュリティチームは10月14日(現地時間)、SSL 3.0の深刻な脆弱性「POODLE」(Padding Oracle On Downgraded Legacy Encryptionの略でプードルと読む)の発見とその対策について発表した。
> また、WebブラウザによるSSL 3.0のサポートを無効にするメカニズム「TLS_FALLBACK_SCSV」を公開し、同メカニズムの採用を呼び掛けた。GoogleのWebブラウザChromeおよび同社のサーバは既にこのメカニズムを2月から採用しており、互換性の問題もなく使えているとしている。
> 同日、Mozillaは11月25日にリリース予定のFirefox 34でSSL 3.0のサポートを無効にすると発表した。Mozillaとミシガン大学の共同調査によると、Alexaの上位100万ドメインでSSL 3.0に依存しているのは0.42%に上るという。
11月25日にリリース予定のFirefox 34でSSL 3.0のサポートを無効にするとということですが、
|
Re: SSL TLS 関係・対応のいろいろ ( No.20 ) |
- 日時: 2014/11/11 10:37
- 名前: くりくり
- こんにちは
>どこかのHTTPSサーバで、接続できない事態が発生するかもしれないんですね?
はい、o6asanさんやjuneさんが紹介されたサイトはtlsのみになりますので、 ie6では接続できません。tlsをサポートしておらずsslのみになるからです。
|