TLS_RSA_WITH_NULL_SHA暗号を使用しても安全ですか？
TestSSLServerツールを使用してTLS_1.2接続テストを実行すると、TLS_RSA_WITH_NULL_SHA暗号がリストされているのがわかります。しばらく前に、いくつかのセキュリティテストツールでNULL暗号が廃止されるべきであると報告されており、安全なアプリケーションに実装することはお勧めできません。
ここでの私の質問は、セキュリティが主要な懸念事項である私のアプリケーションにRSA_WITH_NULL_SHAを含めることの危険性です。
どんな提案/コメント/考えも大歓迎です。
これは、セキュリティの目標に大きく依存します。 NULL暗号は、信頼性と整合性のチェックを提供しますが、機密性は提供しません。つまり、このような暗号を使用すると、パッシブトラフィックキャプチャ機能を持つ攻撃者は、TLSチャネルを介して何を送信しているのかを知ることができます。さらに、MitMの立場にある敵は、この暗号へのダウングレードを引き起こす可能性があります。したがって、状況によっても機密性が重要である場合は、この暗号をリストに含めないでください。
繰り返しますが、理解を深めるために、NULL暗号スイートは暗号化をまったく提供しませんです。