Dell BSAFE SSL-J 7.0リリース アドバイザリー

2021年4月13日初版発行

説明

このリリースの SSL-J は、次の新機能を提供するように設計されています。

• TLS 1.3 (RFC 8446) の実装。
• TLS 1.3のプロパティ サポート:
  • 次の新しいプロパティのサポートが追加されました。

           com.rsa.ssl.compatibility.tls13.middlebox
           com.rsa.ssl.server.forcehrr
           com.rsa.ssl.tlsextensions.client.keyshares
           com.rsa.ssl.tlsextensions.server.cookie
           com.rsa.sslj.supported.signature.schemes
           com.rsa.sslj.supported.certificate.signature.schemes

• 以前はサポートされていなかったプロパティのサポートが追加されました

           jdk.tls.keyLimits

• 次のプロパティのTLS 1.3サポートが追加されました。

           jdk.tls.disabledAlgorithms

• 以前はサポートされていなかったプロパティに対するTLS 1.3およびTLS 1.2のサポートが追加されました。

           jdk.tls.namedGroupsです

• TLS 1.3(RFC 8446)の認証局拡張機能の実装。
• TLS 1.2およびTLS 1.3用の証明書ステータス要求拡張機能であるOCSPホチキス止めの実装。(RFC 6066 および RFC 8446)。
  • 次の新しいプロパティのサポートが追加されました。

           com.rsa.ssl.client.ocsp.sendnonce

• 以前はサポートされていなかった次のプロパティのサポートが追加されました。

           jdk.tls.client.enableStatusRequestExtension
           jdk.tls.server.enableStatusRequestExtension
           jdk.tls.stapling.cacheSize
           jdk.tls.stapling.cacheLifetime
           jdk.tls.stapling.ignoreExtensions
           jdk.tls.stapling.responseTimeout
           jdk.tls.stapling.responderURI
           jdk.tls.stapling.responderOverride

• TLS 1.2およびTLS 1.3のレコード サイズ制限拡張の実装(RFC 8449)。
  • 次の新しいプロパティのサポートが追加されました。

           com.rsa.ssl.tlsextensions.client.recordsizelimit.length
           com.rsa.ssl.tlsextensions.server.recordsizelimit.length

• TLS 1.2(RFC 7627)のセッションハッシュと拡張マスターシークレットの実装。
  • 以前はサポートされていなかったプロパティのサポートが追加されました。

           jdk.tls.useExtendedMasterSecret

• 一時キーの使用制限の設定。
  • com.rsa.ssl.ephemeralkey.usagelimitシステム プロパティは、ハンドシェイクにエフェメラル キー ペアが使用される回数を制限します。デフォルトの制限は1で、一時キー ペアが再利用されないようにします。

このリリースの SSL-J には、次の変更が含まれるように設計されています。

• SSLv3、TLS 1.0、TLS 1.1はサポートされなくなり、実装が削除されました。
• 次のプロパティのサポートが削除されました。

      com.rsa.ssl.server.compatibility.securerenegotiation
      com.rsa.ssl.server.compatibility.securerenegotiation.requireupdatedpeer
      com.rsa.ssl.client.compatibility.securerenegotiation.requireupdatedpeer
      com.rsa.ssl.rsamd5signature
      jsse.enableCBCProtection

• TLS 1.2のEC Supported Point Formats ExtensionのサポートをRFC 4492からRFC 8422に更新しました。
• 従来の再ネゴシエーションのサポートが削除されました。

このリリースは、次の非推奨の機能を削除するように設計されています。

• すべてのSSLJ API。アプリケーションは、Crypto-JのパブリックJSSE APIとCertificate APIを使用する必要があります。
• すべての Cert-J API
• 以前に廃止されたすべての暗号スイート(機能拡張と解決された問題に示されているとおり)
• 以前に廃止されたAPI。これらの項目の完全なリストについては、Dell BSAFE SSL-J開発者ガイドの削除されたAPIを参照してください。

このリリースには、次の修正が含まれるように設計されています。

• BSFSSLJ-300: Diffie Hellman を使用したネゴシエーションでは、「無効なパディング」例外 (Java 1.7) が発生することがあります。詳細は、Oracle Bug Database、JDK-8013059「サード・パーティの問題、SSL-Jの変更は不要」を参照してください。
• BSFSSLJ-262: TLSクライアントは、ECDH暗号スイートのECDSA_signクライアント認証をサポートしていません。固定(静的)ECDH暗号スイートはサポートされなくなりました。サポートされているエフェメラルECDHE暗号スイートを使用します。
• BSFSSLJ-261: TLS v1.1サーバーは、DH_RSA暗号スイート用にDSAで署名された固定DHキーを含む証明書を送信します。TLS 1.1はサポートされなくなったため、修正されません。
• BSFSSLJ-259: JSSE TLSv1.2 ClientHelloには、RC4暗号スイートが含まれています。RC4暗号スイートはサポートされなくなりました。
• BSFSSLJ-245: SSLJ API の使用時に OCSP がオフになっていても、SSL-J が「指定された OCSP レスポンダー証明書が見つかりませんでした」というエラーで失敗します。対処方法: すべてのOCSP関連プロパティ(trustManagerの下)をコメント アウトします。SSLJ APIがサポートされなくなったため、修正されません。