ToppyMicroServices

RFC 6066 Quiz

TLS extensions

🇺🇸 🇯🇵
0 / 0

References (URLs)

範囲: ここではRFC 6066 extensionのwire ruleとfailure ruleを扱います.全extensionがnew deploymentに適切だという意味ではなく,certificate validation,endpoint identification,application authorizationを置き換えません.

Q1: このhandshake後のrecord-layer behaviorはどれか

Multiple Choice

TLS 1.2 clientが`truncated_hmac`をofferしました.serverはfull handshakeを完了しましたが,ServerHelloに`truncated_hmac`を含めません.selected cipher suiteはHMACを使います.

**Explanation:** RFC 6066 Section 7では,serverはServerHelloにextensionを含めることでagreeでき,successful negotiation後にだけ双方が10-byte HMAC tagを使います.したがってBです.Aはoptional offerをrequirementへ変えています.Cはserver acceptanceを無視します.Dは根拠がなく,full handshakeでextensionがないことはresumptionを証明しません.

Q2: stapled statusが来ない場合,clientが導ける結論はどれか

Multiple Choice

clientは`status_request`をofferし,local policyでOCSP validationを必須にしています.その他の点ではacceptableなcertificateを持つserverが,extensionをnegotiateせずCertificateStatusも送らずにhandshakeを完了しました.

**Explanation:** Section 8はserverがCertificateStatusを提供しないことを許し,Section 11.6はcompromised keyを持つserverが非対応を装えると警告します.Cはunknown statusを保ち,client requirementを適用します.Aはpositive evidenceを捏造します.BはMAYをMUSTへ変えます.Dはpremiseに反するfail-open policyであり,RFC 6066はrequired validationよりauthorizationを先にしません.

Q3: SNIへ正しくencodeしたHostNameはどれか

Multiple Choice

clientが国際化DNS名“bücher.example”へ接続し,RFC 6066 `server_name`を構築します.

**Explanation:** Section 3はHostNameをtrailing dotなしのASCII fully qualified DNS nameとし,internationalized nameにはA-labelを使うためBです.Aはencodingとdot ruleに違反します.Cは許可されないliteral addressです.DはServerNameListに同じname_typeを複数含めないrequirementに違反します.

Q4: clientはこのmax-fragment responseをどう処理するか

Multiple Choice

clientが`max_fragment_length` 2^10をrequestしました.ServerHelloはextensionを含みますが,近いsupported limitを選ぶ意図で2^11を返しました.

**Explanation:** Section 4はserverが同じvalueをechoしてacceptすることを許し,異なるresponse valueならclientへ`illegal_parameter`でabortするよう求めるためBです.Aはserver selectionを作り出します.Cはrecord limitを不一致にします.Dはmalformed negotiation responseへspecified fatal behaviorを適用していません.

Q5: RFC 6066のname-consistency ruleに従うgateway判断はどれか

Multiple Choice

gatewayはSNI `agents.example`を受け,そのvirtual hostのcertificateを選んでTLSを完了しました.続くprotected HTTP requestのauthorityは`billing.example`です.gatewayのrouting policyは二つのnameが同じだと仮定します.

**Explanation:** Section 11.1は,nameが同じことへ依存するapplication serverに,clientがapplication protocolで異なるnameを提示していないか確認するよう求めます.Cはそのcheckを行い,authorizationも分けます.Aはrequired comparisonを省きます.Bはserver-routing hintをclient identityとpermissionに誤用します.Dはchannel protectionをsemantic equalityと混同します.

Q6: 正しいresumption reviewはどれか

Multiple Choice

full TLS 1.2 sessionで`max_fragment_length` 2^10と`truncated_hmac`をnegotiateしました.後のClientHelloがresumptionを要求し,両offerを繰り返します.serverはsessionをresumeし,ServerHelloから両extensionを省きました.clientは2^14 fragmentとfull HMACへresetします.

**Explanation:** Section 1.1はaccepted resumptionでserverがこれらのextensionをignoreし,ServerHelloへ含めず,original initiationでnegotiateしたfunctionをresumed sessionへ適用するよう求めます.Sections 4と7も両functionがresumptionを通じて続くと明記するためAです.Bは禁じられたechoを要求します.CはclientのSHOULDと,resumption拒否時のfallbackを損ないます.Dは存在しないlifetime差を作ります.