TLS 1.3 hybridized Kyber supportが有効化されているブラウザでの通信でSSL復号化機能が動作しないことがある事象について

事象

• Edge, Google Chromeといった「TLS 1.3 hybridized Kyber support」が有効化されることになったブラウザを利用している場合、SSL復号が動作しないことがある
• 2024/4/22にChrome および Edge ブラウザで提供された最新バージョン (Chrome v124.0.6367.61 および Edge v124.0.2478.51) で、当該機能がデフォルトで有効になる（参考：リンク）
• 当該機能が有効化されていると、サーバ側（SSL復号時にサーバとして振る舞うPAVM）がこの機能でクライアントによって送られてくるSSL/TLS Helloパケットが肥大化し、分割して送信されることでPaloが処理しきれず、WebブラウザとPaloalto間でSSL/TLSセッションを構築出来ないことがある

影響があるユーザ

「SSL復号機能」を利用中かつ「TLS 1.3 hybridized Kyber support」が有効化されているブラウザを利用中のユーザ
(FSGでは、デフォルトでSSL復号機能が有効かされています)

影響内容

• SSL復号対象の暗号化通信に対して、UTM機能（URLフィルタリング/アンチウイルス/アンチスパイウェア/脆弱性防御）が動作しないことがある。
• SSL復号対象のURLに関するログが記録されないことがある。

回避策

Microsoft Edge

• アドレスバーに「edge://flags/#enable-tls13-kyber」を入力し押下。
• 「TLS 1.3 hybridized Kyber support」の設定を「Disabled」に設定。
• 右下に表示される「再起動」をクリック。

Chrome

• アドレスバーに「chrome://flags/#enable-tls13-kyber」を入力し押下。
• 「TLS 1.3 hybridized Kyber support」の設定を「Disabled」に設定。
• 右下に表示される「Relaunch」をクリック。