1

asp.net mvc5の環境化でサーバーにリクエストをしてきたクライアントブラウザのTLSバージョンを取得したいのですが可能でしょうか?
SslStreamを使って行えるかと思いましたがHttpRequestBaseのRequest.InputStreamでは変換ができないようでした。
サーバー上で取得が難しければjavascriptでも可能でしょうか?

5
  • 1
    参考までに取得したい理由は何でしょうか?
    – sayuri
    Commented 2018年7月24日 0:38
  • 1
    将来的にtls1.2のみの通信対応にするためリクエストされるブラウザのTLSバージョンが1.2に対応したものかどうかの判別をしてメッセージを表示したいです。
    – TAKU
    Commented 2018年7月24日 1:05
  • 1
    おそらくアプリケーション層でサーバー側からブラウザの対応状況を知ることは不可能です。SSLLabsの実装を見るに、各バージョンで受け付けているポートに接続を試させてその結果をjavascriptでYes/Noの表示をしているようです。ssllabs.com/ssltest/viewMyClient.html
    – htb
    Commented 2018年7月24日 2:35
  • 例えば、ブラウザ毎のTLSの対応状況は色んなサイトに乗っているのでそれを参考にして、UserAgentから利用ブラウザで判別してメッセージを出すとかでも構いませんか?それともあくまできちんとTLSが対応しているか実証したほうがいいですか?
    – keitaro_so
    Commented 2018年7月24日 2:37
  • ブラウザの種類・バージョンの取得は行えているので固定のテーブルから判定するのはできる状態です。ただ今はTLSのバージョンを検知しての対応を行いたいと思っております。
    – TAKU
    Commented 2018年7月24日 5:03

1 件の回答 1

2

TLSは各バージョンで使用できる暗号スイートが定義されています。
例えばIPAのSSL/TLS暗号設定ガイドラインでは「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」を定義していますが、この中の「高セキュリティ型」では

高セキュリティ型の暗号スイート設定では、TLS1.2 でのサポートが必須と指定されている暗
号スイート AES128-SHA を利用した通信が接続不可となることに留意されたい

とTLS 1.2のみならず、TLS 1.2で必須と定められている暗号スイートすら使用しないことを推奨しています。
逆の例で、Windows XP / Vista上のInternet Explorerは一定の設定を行うとTLS 1.2まで有効化させることができます。ただし、使用可能な暗号スイートは限定的なため、TLS 1.2を使用していてもサーバー側の求める暗号スイートに対応しておらず接続できないことがあります。

というわけでTLSバージョンだけでなく、どの暗号スイートが利用可能かも含めて判断されることをお勧めします。


TLSでは最初にブラウザーからClientHelloを送信しますがその中にTLSバージョンやブラウザーが使用可能な暗号スイートの一覧が含まれています。その後、WebサーバーはServerHelloで受け入れた暗号スイートを返します。TLSのハンドシェイクが完了して初めてHTTPのリクエストが送信されるため、少なくともasp.netではTLSでどのようなやり取りが行われたかは確認することができません。

結局、htbさんがコメントされているような方法が有効かと思われます。つまり、質問者さんが将来的に受け入れ可能と考えているTLSバージョン・暗号スイートのみに限定したWebサーバーを別建てします。JavaScriptで当該Webサーバーに接続、リクエストが通れば、ブラウザーは条件を満たしている・通らなければ満たしていないと判断し、表示内容を切り替えるのはどうでしょうか。

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。