1週空いてしまいましたが、2022年9月26日～10月2日に読んだ中で気になったニュースとメモ書き（TLSらじお第74回の前半用原稿）です。
[DoHとDoT]
こちらのツイートから。
App Stores are blocked. So is Signal's website. Any chance y'all can create mirror links or an email responder? https://t.co/V03DgEvRFu #OpIran #مهسا__امینی #IranProtests2022
— Nima Fatemi (@mrphs) 2022年9月25日
リンク先の記事はこちら。
抗議デモへの対抗措置として当局によるインターネットへの検閲が強化され、モバイルネットワークが停止されたらしい。
DNS over HTTPSを使えなくしたり、TLSやTCPのレベルでブロックしたりと各種SNSへのアクセスができなくなっているとのこと。
ところで、DNS over HTTPS (DoH)とDNS over TLS (DoT)は別らしい。
DNS over TLSはRFC 7858で2016年から提案中の仕様で、2018年にRFC 8310で更新があった。ポート853を利用し、TLS1.2でハンドシェイクを行う（RFC 8310でTLS1.3がオプションとして提案された）。ポート853ではDNSの平文は絶対に送らないこと、とされている。暗号化された後の通信では、複数のDNSクエリをまとめて送信できるらしい。
Wikipediaによると、CloudflareやGoogleがDNS over TLSのDNSリゾルバを提供している。
一方、DNS over HTTPSはRFC 8484で2018年から提案中の仕様。HTTPS（TLS1.3）で接続して、1つのDNSクエリを1つのHTTPリクエストとして送信する。POSTメソッドまたはGETメソッドが利用可能。ただし、HTTPのキャッシュの仕組み上、GETを使うとフレンドリーとのこと。レスポンスのContent-Typeはapplication/dns-messageになる。
Wikipediaによると、HTTPSでTLSセッションが維持されたり、CookieやUser-Agentヘッダが利用されることで端末の追跡が可能になるため、プライバシー上の問題がありそう。
[Bulletproof TLS Newsletter #93]
#93が公開された。
Let's Encryptの設立者の1人Peter Eckersley氏が43歳で亡くなったとのこと。若い...合掌。Let's Encryptと並行してACMEの開発もおこなっていたらしい。
第31回のUSENIX Security SymposiumでDANEの設定ミスに関する研究が発表された。TLSAレコードの30%はチェーンのミスで検証できず、3.6%は誤った証明書がデプロイされていたとか。
NISTが追加の耐量子署名アルゴリズムを募集しているらしい。第4ラウンドに残った鍵カプセル化メカニズムとしては複数の候補があるものの、署名アルゴリズムとしては検討中のものがないため、とのこと。
先のイランのニュースに関係して、SignalというSNSにアクセスするためのTLSプロキシをSNS自身がOSSとしてGitHub上で公開しているらしい。使っているNginxが1.18.0とやや古いのが気になるが...。
[その他のニュース]
▼パブリックWiFi
こちらのツイートから。
「public Wi-Fiは安全か？」という問に対する専門家の回答。納得みが深い。
— Hajime Fujita (@fujita_d_h) 2022年9月26日
- 基本的にwebはTLSなので気に病む必要なし。ただモバイルアプリが背後でどう通信しているかは要注意。
- 懸念はDNS/SNIによるアクセス先の漏洩と、暗号化トラフィックに対する交信解析。(続 https://t.co/0WbSwKVucT
- ただしあなたが政府に狙われる級の人物である場合は話が違ってくる。(本記事では基本的に対象外)
— Hajime Fujita (@fujita_d_h) 2022年9月26日
「公衆Wi-Fiでサイトにログインしたり送金したりすると情報やお金を盗まれるので気をつけましょう。いかがでしたか？」とかいう意味不明な啓発記事が多くて辟易していたのでこれは納得。
リンク先の記事はこちら。
Androidアプリは独自の証明書検証を実装して問題になるケースが多いらしい。Googleが対策はしているもののダメなケースが多いとか。iOSはどうなってるんだろう？
▼AWS Private CA
こちらのツイートから。
A new console and a new name for AWS Private CA! We simplified the and and we simplified the user experience. https://t.co/OhoZFvu6Vy
— Jonathan Kozolchyk (@seakoz) 2022年9月29日
リンク先の記事の日本語版はこちら。
ACMのPrivate CA機能が単体のサービスに昇格してAWS Private CAという名前になったらしい。コンソールも別になったとのこと。確かにプライベートCAとパブリックCAでは目的が異なるので当然といえば当然か。
コンソールのアクセシビリティ改善とか地味だけど重要なアップデートもこっそりお知らせされていた。
コンソールのアクセシビリティも向上し、スクリーンリーダーのサポートの向上、運動障害のある方向けに Tab キーによる移動の強化
▼TLS1.3 ClientHello
こちらのツイートから。
Ever wanted to know what every byte in a TLSv1.3 ClientHello message means? Too bad, you know now: https://t.co/rvKW9fPa2I pic.twitter.com/NAiZxIPO2K
— netspooky.lock (@netspooky_) 2022年9月28日
リンク先はこちら。
こっちの方が見やすいかな...TLS1.2とQUICもあるし。
[まとめ]
自分が43歳で死ぬとしたら、何を残せるだろうか、とか考えてしまった...。
