web-dev-qa-db-ja.com

SCSVがないことによるセキュリティ上の影響(ただし、TLS 1.2のみが許可されている)

この セキュリティスタック交換の質問 と同様に、サービス/サーバーのセキュリティを考慮して、onlyTLSの場合、欠点があるかどうか疑問に思いました1.2は許可されますが、プロトコルのダウングレード攻撃を防止するための TLSフォールバックシグナリング暗号スイート値(SCSV)有効になっていません

理論的には、とにかく利用可能なTLS 1.2しかないので、SCSVの欠落による影響はありませんが、100%確実ではありません。

そもそもTLS 1.2のみが許可されている場合、SCSVが存在しないとどのような影響がありますか?

3

SCSVはダウングレードを防止するための方法にすぎず、サーバーは他のプロトコルへのダウングレードをサポートしていないため、その欠点はありません。

私が間違っている場合は修正してください。ただし、SCSVはTLS 1.2が何であれ許可されているだけでは何の役にも立ちません。

1
MikeDyson