3.0をオフにする方法を用意してくれました。Machinesやりかたは2パターンあります。3.0が有効な状態を見ときましょう。(curlでやるとクールだけどIEでとりあえず。)TLSがOnだとそっち使っちゃうので一時的に。Webサイトにつないで見ます。SSLv3をインストールします。プレビューポータルだともう少し簡単です。(わざわざKuduにつながなくても良い)簡単です。プレビューポータルだと再起動もされるので簡単ですね。ブラウザでつないで見ましょう。TLS有効にするとちゃんと見えます。※ちなみにこのExtension有効にすると、Extension消しても403になっちゃう気がします。URLRewriteを使うもう1つの方法として提示されたのがURLRewriteを使う方法です。いう特別なリクエストヘッダを付与してくれるので、こちらを見て判断する方法です。(TLSで接続している場合などはこのリクエストヘッダが付与されません)以下のようなルールをWeb.configに追記します。/></rule></rules></rewrite></system.webServer></configuration>こんな感じになります。Web.configだけで設定のOn/Offできるので、こちらのほうが使い勝手がいいかもです。※CustomErrorsとか設定してないとという話)クラウドサービスや仮想マシンについては以前書いた通りです。3.0が完全に使われてない技術であればWebサイトもホスト側ですぱっとオフにできるのでしょうけど、そうじゃないクライアントがあるのでサービス側としてはこのような形でエラーにさせる方向なのでしょうね。完全にクライアントの問題とも言えませんがクライアント側で少なくともSSL3.0使わなければ良いはずですので、サーバー側でどうするかは状況によりけりということでしょうか。(少なくとも現状は)あ、ちなみにモバイルサービスもKudu使えるはずなので、同じ手段で対策できるかと思います。追記URLRewriteでSSL3.0接続のときに403を返しつつカスタムエラーでユーザーにSSL3.0の無効化を促すようにする場合はこんな感じにすると良さそうです。静的ファイルだとステータスコードが200に上書きされるようなので、CSHTMLで強制的に403を返すようにするようです。たけぱらさんありがとうございます。これでSSL3.0の時はエラー扱いにして且つユーザーに注意を促すことができますね。結局SSL3.0で繋いじゃってるので脆弱な状態といえば脆弱です。注意を促したりするための対応なのでクライアント側で気を付けましょうね。コメントをキャンセルコメントを入力してください。以下に詳細を記入するか、アイコンをクリックしてログインしてください。アカウントを使ってコメントしています。アカウントを使ってコメントしています。新しいコメントがついたらメールで通知。免責事項このBlogおよびコミュニティにおける発言やコメントは、当方の所属する会社・団体の正式な見解またはコメントではありません。フォロー中ブチザッキ現在102人フォロワーがいます。購読管理このバーを折りたたむ%d人のブロガーが「いいね」をつけました。