私は amd64 上で Debian Testing を実行しており、アップグレード前にバグが存在するかどうかを知らせる apt-listbugs 機能を使用しています。
現在、パッケージlibgnutls-deb0-28には重大なバグ「CUPS は TLS の読み取り時にクラッシュする」という内容です。このため、私は GNOME 3.12 など、希望していた多くのアップグレードやインストールを控えてきました。
問題は、本当に気にする必要があるかどうかです。CUPS はいつ TLS を必要とするのでしょうか。ネットワーク経由で印刷するときには必要ですか。私は決してそんなことはしません。
答え1
今日、ウェブ上で次の記事を見つけました。
https://luxsci.com/blog/ssl-versus-tls-whats-the-difference.html
以下はその文書からの抜粋です。
「以前は、TLS v1.0 は、その前身である SSL v3.0 よりもわずかに安全であると信じられていました。しかし、SSL v3.0 は非常に古くなっており、POODLE 脆弱性などの最近の開発により、SSL v3.0 は完全に安全ではないことが示されました (特に、それを使用している Web サイトの場合)。POODLE が公開される前から、米国政府は SSL v3 を機密性の高い政府通信や HIPAA 準拠の通信に使用しないことをすでに義務付けていました。それだけでは不十分だったとしたら... POODLE は確かに不十分でした。実際、POODLE の結果、SSL v3 は世界中の Web サイトや他の多くのサービスで無効になっています。
SSL v3.0 は、有用なセキュリティ プロトコルとしては事実上「死んで」います。Web ホスティングで SSL v3.0 の使用をまだ許可している場所は、その「安全な Web サイト」を危険にさらすことになります。他のプロトコル (IMAP など) で SSL v3 の使用を許可している組織は、できるだけ早くソフトウェア更新メンテナンス ウィンドウでそのサポートを削除する手順を実行する必要があります。
TLS の後続バージョンである v1.1 および v1.2 は、セキュリティが大幅に向上し、SSL v3.0 および TLS v1.0 に存在する多くの脆弱性が修正されています。たとえば、古い SSL v3.0 および TLS v1.0 プロトコルで実行されている Web サイトを完全に破壊する可能性のある BEAST 攻撃などです。新しい TLS バージョンは、適切に構成されていれば、BEAST やその他の攻撃ベクトルを防ぎ、より強力な暗号と暗号化方式を多数提供します。"