Compatibility

互換性

RFC7627 Extended Master Secret問題

2019年10月のWindows Update以降、古いFTP Serverと接続できない問題が発生しています。特にOpenSSL 1.1.0未満を使用されている例が多くあります。FTP Serverの脆弱性を修正するか、設定を変更する必要があります。

詳細説明

FTPにはコントロール接続とデータ接続とがあります。それぞれの接続を暗号化したとしても、データ接続がコントロール接続とは別の第三者の可能性を排除できません。この脆弱性を緩和するために一部のFTP Serverは、データ接続について、コントロール接続のTLSセッションを引き継ぐことを強制します。これによりTLSセッション情報を持たない第三者による攻撃を排除できます。

しかし強力な攻撃者の場合、TLSセッションを割り出しTLSセッションを引き継ぐ可能性があります。これに対しRFC7627 Extended Master Secretの対策があります。RFC7627を使用することで第三者がTLSセッションを引き継ぐ可能性を緩和します。

Windowsでは2019年10月のWindows Updateで、TLSセッションを引き継ぐ際にはRFC7627の使用を強制するようになりました。この動作はTransport Layer Security (TLS) connections might fail or timeout when connecting or attempting a resumptionで説明されています。RFC7627に対応していない接続先に対してはTLSセッションを引き継がないようになっています。このことは、RFC7627に対応していないFTP Serverに対してTLSセッションが引き継がれず、接続できないことを意味します。

TLS暗号化で広く使われているOpenSSLは2016年7月の1.1.0以降でRFC7627に対応しています。