FTPSでセッションの再利用が役立つのはなぜですか？
すべてのFTPSクライアントがセッションの再利用をサポートしているわけではないことに気づきました。サーバーで有効のままにしておく必要がある重要なセキュリティオプションかどうか疑問に思っています。
私の推測では、SSL/TLSが制御とデータ接続の両方に使用されている場合でも、セッション再利用オプションが有効になっていないと、攻撃者がデータ接続を乗っ取る可能性があります。誰かがこれを確認/反証し、より詳細な説明をするのを手伝ってもらえますか？
私もこれを見つけました： VU＃2558ファイル転送プロトコルはPASVモードの競合状態を介したデータ接続のハイジャックを許可します 、SSL/TLSについてまったく言及していないため、関連性があるかどうかわかりません。
あなたの仮定は正しいです。 TLSセッションを再利用すると、攻撃者がFTPデータ接続を乗っ取るという理論上の可能性から保護されます。
データ転送を開始すると、サーバーはサーバー上のデータ接続ポートを開きます（パッシブモード）。攻撃者は、FTPクライアントが行う前にポートを推測して接続し、データを盗む可能性があります。
サーバーがデータ接続に同じTLSセッションを使用する必要がある場合、攻撃者は独自のTLSセッションを開始できず、データをデコードできなくなります。
TLSセッションを再利用するもう1つの利点は、データ接続/ファイル転送ごとに新しいTLSハンドシェイクを実行する必要がないため、パフォーマンスが向上することです。小さなファイルをたくさん転送する場合は特に重要です。
参照する脆弱性 は、実際にはTLSセッションの再利用が防止しようとする問題のスーパーセットです。
一部のサーバーは、クライアントが制御接続とデータ接続に同じSSLセッションを使用することを期待しています。それとは別に、SSL接続を確立するために必要なラウンドトリップの数が減るため、セッションの再利用により接続が高速化されます。セッションの再利用を有効にするために明示的なスイッチを使用しないクライアントは、ブラウザのように、単に暗黙的にスイッチを使用する可能性があります。