TLS v1.3の仕様はドラフト1から4年が経過し、ついに完成しようとしています。ドラフト24で、ワーキンググループの最後のコメントも対処されました。IESGは文書をレビュー中で、まもなくRFCとして公開される予定です。
wolfSSLは、TLS v1.3のコードをドラフト22および23のサポートをするように更新しました。ドラフト24では軽微な変更だけでRFCのリリースも予定されているため現段階ではサポートしていません。RFCのリリースに合わせTLS v1.3コードを間もなく完成できることを楽しみにしています。
私たちがTLS v1.3について最後にブログを投稿したのは、ドラフト21の時です。それ以来、ミドルボックスの非互換性を扱うためにいくつかの変更が加えられています。
ミドルボックスは、クライアントとサーバーの間に位置し、通常はインスペクション、フィルタリング、またはプロキシとして動作するデバイスです。これらはインターネットエコシステムに必要なコンポーネントです。インスペクションミドルボックスは、ネットワークトラフィックの監視と統計の収集に使用されます。フィルタは、不正な形式または悪質な望ましくないネットワークトラフィックを検出して削除します。プロキシサーバーは、ネットワークトラフィックと分散負荷をより適切に管理するためにTLS接続を分割するのに使われます。
ミドルボックスにはファームウェア変更によって更新される組込みデバイスもあります。そうしたデバイスでは更新はめったに行われないので、TLS v1.3仕様を修正するにあたってはデプロイシステムを使用する必要がありました。
Mozillaは、ドラフト18対応のウェブサイトにMozillaのブラウザを接続してカスタマテストを実施しました。結果（ https://www.ietf.org/mail-archive/web/tls/current/msg25091.html ）は、TLS v1.2の失敗率1.58％に対してTLS v1.3ドラフト18は2.91％の失敗となりました。これは統計的な優位差があります。互換性の一部が修正された後、失敗率は1.63％に改善しました。修正が必要であることは明らかでした。
必要となった修正内容は次のとおりです：
・ServerHelloバージョンとレコードレイヤーバージョンを変更して0x0303に
・ServerHelloメッセージから削除したフィールドを復元
・HelloRetryRequestをServerHelloメッセージにマージ
・ハンドシェイクのChangeCipherSpecメッセージを無視
最初は、ミドルボックスはClientHelloメッセージを検査しServerHelloメッセージやHelloRetryRequestメッセージのような応答を無視すると仮定しました。しかし実世界ではそうではありませんでした。そのため、TLS v1.2からのServerHelloの変更の一部を元に戻す必要がありました。必要となった変更はすべて、wolfSSLにすでに含まれています。
さらにオプションの互換性のための変更が定義されています。これには、すべての暗号化されたデータより前にChangeCipherSpecを送信、従ってそれ以前のメッセージを無視する機能が含まれています。 wolfSSLには、WOLFSSL_TLS13_MIDDLEBOX_COMPATの定義を使用してこれらを有効にする機能があります。
ドラフト22がリリースされた後、より広範なテストがMozillaによって実行されました。結果（ https://www.ietf.org/mail-archive/web/tls/current/msg25179.html ）は次のとおりでした。
・TLS v1.2の失敗率：4.85％（米国では3.25％）
・TLS v1.3ドラフト22：5.02％（米国では3.45％）
・TLS v1.3ドラフト22互換性：4.81％（米国では3.24％）
・ドラフト22の変更が有効であることは明らかです。
ドラフト23は、BSAFEに基づいたCANONプリンタとの互換性を確保するためにKeyShare拡張の番号を変更し、証明書の署名を合意するための新たな拡張を追加しました。
デフォルトではwolfSSLはドラフト23をサポートしますが、-enable-tls13-draft22を使用してドラフト22をサポートするように設定できます。また、初期からのユーザー向けの下位互換性のためにドラフト18のサポートは、-enable-tls13-draft18で指定できます。
さらに詳しい情報は弊社問い合わせ窓口info@wolfssl.jp までお問い合わせください。
原文: https://www.wolfssl.com/update-tls-v1-3-support-wolfssl/
wolfSSLホーム：www.wolfssl.jp (English：www.wolfssl.com)