TLS 1.3 の特徴
TLS 1.3 の特徴に関する記述として，適切なものはどれか。
- アRSA 暗号で暗号化したプリマスタシークレットをサーバに送る鍵交換方式は廃止され，公開鍵による鍵交換は (EC)DHE に限定された。
- イハンドシェイクで使用する暗号スイートとして，CBC モードのブロック暗号と HMAC を組み合わせたものが推奨されている。
- ウサーバ証明書はハンドシェイクの最初に平文で送られるので，通信経路上の第三者がサーバ証明書の内容を確認できる。
- エ前方秘匿性を確保するために，セッション再開には TLS 1.2 で使われていたセッション ID 方式だけが利用できる。
正解と解説を見る
正解 ア
この問題の基礎知識
- 前方秘匿性は，サーバの長期の秘密鍵が後に漏えいしても，過去に記録された通信を復号されない性質であり，セッションごとに使い捨ての鍵で鍵交換を行う (EC)DHE によって得られる。
- 静的 RSA 鍵交換では，クライアントが生成したプリマスタシークレットをサーバ証明書の公開鍵で暗号化して送るので，サーバの秘密鍵があれば記録した通信から鍵を復元できる。
- AEAD（認証付き暗号）は暗号化と改ざん検知を一体で行う方式であり，AES-GCM や ChaCha20-Poly1305 がその例である。
- TLS 1.3 では，ServerHello より後のハンドシェイクメッセージが暗号化され，セッション再開には PSK（事前共有鍵）を用いる。
アRSA 暗号で暗号化したプリマスタシークレットをサーバに送る鍵交換方式は廃止され，公開鍵による鍵交換は (EC)DHE に限定された。正解
TLS 1.3 では前方秘匿性をもたない静的 RSA 鍵交換が廃止され，公開鍵を用いる鍵交換は (EC)DHE だけになった。サーバの秘密鍵が後に漏えいしても，過去の通信を復号されない（前方秘匿性）。
イハンドシェイクで使用する暗号スイートとして，CBC モードのブロック暗号と HMAC を組み合わせたものが推奨されている。
TLS 1.3 では暗号スイートが AES-GCM や ChaCha20-Poly1305 などの AEAD に限定され，CBC モードと HMAC を組み合わせた方式は使用できない。
ウサーバ証明書はハンドシェイクの最初に平文で送られるので，通信経路上の第三者がサーバ証明書の内容を確認できる。
TLS 1.3 では ServerHello 以降のハンドシェイクメッセージが暗号化され，Certificate メッセージも暗号化して送られる。経路上の第三者は証明書の内容を確認できない。
エ前方秘匿性を確保するために，セッション再開には TLS 1.2 で使われていたセッション ID 方式だけが利用できる。
TLS 1.3 のセッション再開は，セッションチケットなどで共有した PSK を用いる方式に統一された。従来のセッション ID による再開は廃止され，互換性のためのフィールドが残るだけである。
検証用の出典出典照合済み
RFC 8446 The Transport Layer Security (TLS) Protocol Version 1.3照合の根拠（4 件）
- ア（正解）: 静的 RSA 鍵交換は廃止され，公開鍵による鍵交換はすべて前方秘匿性をもつ（(EC)DHE）
Static RSA and Diffie-Hellman cipher suites have been removed; all public-key based key exchange mechanisms now provide forward secrecy.
RFC 8446 · Section 1.2（新しいタブで開きます） - イ: 共通鍵暗号は AEAD に限定され，CBC＋HMAC の方式は使えない
The list of supported symmetric encryption algorithms has been pruned of all algorithms that are considered legacy. Those that remain are all Authenticated Encryption with Associated Data (AEAD) algorithms.
RFC 8446 · Section 1.2（新しいタブで開きます） - ウ: ServerHello 以降（Certificate を含む）のハンドシェイクメッセージは暗号化される
All handshake messages after the ServerHello are now encrypted.
RFC 8446 · Section 1.2（新しいタブで開きます） - エ: セッション再開は PSK 方式に置き換えられ，セッション ID 方式だけが使えるわけではない
Session resumption with and without server-side state as well as the PSK-based cipher suites of earlier TLS versions have been replaced by a single new PSK exchange.
RFC 8446 · Section 1.2（新しいタブで開きます）