HTTP/2.0のALPN利用に伴うSSL負荷分散装置の不具合にご注意下さい - ぼちぼち日記

1. はじめに、 ただ今IETF-88@バンクーバーの開催が真っただ中です。スノーデン事件の余波もあり、インターネット技術（特にセキュリティ関連）の議論は熱くなっています。 ちょうど今朝未明（バンクバーでは11/5朝）に HTTP/2.0の標準化を進める httpbis ワーキンググループとセキュリティエリアの合同セッションが開催されました。合同セッションでは、ヘッダ圧縮技術(HPACK)のセキュリティや、HTTP接続(HTTPSではない）で通信の暗号化を行ったらどうか、といった興味深い議論が行われました。このうち将来HTTP/2.0の展開に重要な ALPN(Application Layer Protocol Negotiation) は、このミーティングで最終的な仕様を確定させる段階での議論でした。議論の中で、ALPNの導入によってブラウザから既存の実サービスへの接続に(少なからず)影

[jovi0608]

SSLサービスを運用されてる方、是非一読を！

[flatbird]

HTTP2.0 の ALPN (Application Layer Protocol Negotiation)。TLS の ClientHello でプロトコル候補 (http/2.0 spdy/3.1 http/1.1 等) を送る。ClientHello が 255 バイトを超えるとハングする負荷分散装置が多数あり問題に。

[tmatsuu]

ほほう。リンク先にopenssl s_clientでの検証方法書いてあった。ひとまず大丈夫そうだ。

[onionskin]

Big-IP 10.2.4より古いものは長いClientHelloを通せない

[napsucks]

10.2はとっくにサポート切れじゃないの？と思ったらサポート延長してたのか。以前の酷い3世代ルール強制導入で周りじゅう激おこ絶許状態になって全部A10に入れ替えたわ。いまさらまあ潰れるまで許さないけどなｗ

[utsuidai]

そろそろキチンと勉強せねば

[Jxck]

ALPN で不具合が出る可能性のあるサービス。 SSL 運用者は必見ですね。

[halfrack]

"255バイト以上のClientHelloを受信するとTLS接続がハングアップしてしまうという不具合を持つものが存在"