2024年4月29日～2024年5月5日に読んだ中で気になったニュースとメモ書きです。社内勉強会TLSらじお第155回分。
[ミドルボックスとKyber]
こちらのツイートから。
Is Palo Alto really still breaking on long ClientHellos? In 2024?!?https://t.co/f3xWrgAkzU
— 🎻 Eric Lawrence (@ericlaw) 2024年4月28日
リンク先はこちら。
ハイブリッド耐量子鍵交換をデフォルトで有効化したデスクトップ版Google Chrome 124がリリースされて以降、各種ミドルボックス（FortinetやPalo Alto Networksなどのセキュリティアプライアンスやファイアウォール）がClient Hello以降の接続を遮断する事象が確認されているとのこと。
以前取り上げたtldr.failというサイトでも懸念されていた通り。
ベースが同じだからChromeだけじゃなくでMicrosoft Edgeにも影響があるっぽい。
[Cryptography & Security Newsletter #112]
こちらのツイートから。
Cryptography & Security Newsletter is out! In this issue:
— Feisty Duck (@feistyduck) 2024年4月30日
- Facebook Used MITM to Spy on Competition
- Short news - April was another busy monthhttps://t.co/NpFoPPVpee pic.twitter.com/Jbx9QK2BLE
リンク先はこちら。
トップニュースはFacebookのIAPPプログラムの件。
ショートニュースで未チェックだったTLS関連のものは以下。
- CA/B ForumのバロットSC-70：ドメイン検証要件の明確化
- privacy.txtの提案：cookieにも影響がありそう
- マインクラフトでのjava.util.Randomの誤用
- Real World Crypto 2024動画公開
- EUのPQC移行推奨
- DNSのHTTPSリソースレコードの調査
- Node.jsのGCMデフォルトの問題
- 耐量子証明書に関するブログ
[その他のニュース]
▼[訂正]bayden.com
先週取り上げたニュースは大統領の名前（Biden）と間違えてました。記事修正済み。
▼AWS TLS1.3対応サービス
こちらの記事から。
資料はこちら。
Android 9とかiOS11とかはTLS1.3使えないんだな...知らなかった。AppRunnerもまだなのか。
▼QUIC in Go
こちらのツイートから。
QUIC is finally coming to the Go standard library! https://t.co/iyUtfsByih
— Frank ⚡ (@jedisct1) 2024年4月30日
リンク先はこちら。
Goの標準ライブラリでQUICが使えるようになったらしい。QUIC単品で使うというよりはHTTP/3利用時に内部実装として利用される、という感じっぽい。
▼eIDAS 2.0リリース
こちらのツイートから。
eIDAS2.0 が、今日 4月30日に
— 松本 泰 (@yas_matsu) 2024年4月30日
EU官報（公式ジャーナル）で正式に発行された。
eIDASの改正案が出たのが、2021年6月なので、
正式発行まで、3年弱かかった。https://t.co/TZkCzx7I9k
リンク先はこちら。
ところどころにqualified certificatesという用語が出てくる。結局QWACs証明書ってどうなったんだっけか...なんかEU側が折れたっていってたから、多分ブラウザベンダーへの影響はない、はず。
▼5th PQC Standardization Conference
こちらのツイートから。
実はもう公開されていて、各タイトルをクリックしたあとの別ページでダウンロードできます。 pic.twitter.com/gyTzTbw6ug
— xagawa (@xagawa) 2024年5月2日
リンク先はこちら。
2024年4月に開催された、NISTの耐量子暗号標準化カンファレンス第5回の資料が公開されていた。KEMアルゴリズムはKyberでほぼ決まりかと思ってたけど、まだBIKEとか他のアルゴリズムも検討されてるっぽい。
2024年夏に標準化予定の耐量子暗号アルゴリズム各種について、早速本も出る様子。
Changes on EVERY page, new chapter "Cryptocurrency cryptography" inc. PoW, algebraic hashing & Poseidon, multi-signatures, threshold signatures, zero-knowledge proofs, and more.
— JP Aumasson (@veorq) 2024年5月4日
NEW: section about Ed25519; the new Linux PRNG; NIST's PQC standardshttps://t.co/na1pn00T9S pic.twitter.com/W5PFZcoRie
リンク先はこちら。
[おわりに]
引き続き読んでます。
SSL/TLS実践入門を読みました（35/100%）
— KIDANI Akito (@kdnakt) 2024年5月2日
第2章読了。新しい本だから、2023年5月公開のIPA暗号鍵管理ガイドラインの説明もあってよかった。RC4等脆弱性の説明は『プロフェッショナルTLS＆PKI 』が、楕円曲線の解説は『暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』の方がよかったかも。
SSL/TLS実践入門を読みました（46/100%）
— KIDANI Akito (@kdnakt) 2024年5月5日
第3章読了。ミドルボックス互換性モードのことちゃんと知らなかったので勉強になった…ChangeCipherSpec要らなくなったのに何で送られるんだろうとか思ってた😅
TLS1.2の説明でFinishedが暗号化されてないふうになってたのが残念…。
