ASVS Issue #3360 — TLSバージョン要件(V9.1.3)の明確化
ASVS Issue #3360 — TLSバージョン要件の明確化
概要
V9.1.3 のTLSバージョン要件の文言を明確化する提案。TLS 1.3を優先プロトコルとし、TLS 1.2の許容条件を明確化。
詳細
現在の 9.1.3 は「最新の推奨バージョン」という表現で TLS 1.2 と 1.3 を例示しているが、以下の点が不明確:
- TLS 1.3 を優先プロトコルとすべきこと
- TLS 1.2 が許容される条件
- 旧バージョン (SSLv2, SSLv3, TLS 1.0, TLS 1.1) の無効化
- TLS 1.2 は AEAD 暗号スイートでのみ使用すること
- TLS 1.3 暗号スイートは固定されており手動選択不要
提案文言:
Verify that TLS 1.3 is enabled and preferred for all client communications. TLS 1.2 is permitted only when TLS 1.3 is not supported, and must be configured with AEAD cipher suites and secure renegotiation. Older protocol versions (SSLv2, SSLv3, TLS 1.0, TLS 1.1) must be disabled.
セキュリティ影響
- カテゴリ: V9 Communication Security
- 重要度: High — 通信セキュリティの基本要件
- 関連: OWASP TLS チートシート
原文
I've been reviewing the V9 Communication Security section and noticed that requirement 9.1.3 still uses wording like "latest recommended versions"...
Proposed update for 9.1.3: Verify that TLS 1.3 is enabled and preferred for all client communications. TLS 1.2 is permitted only when TLS 1.3 is not supported...