内容

はじめに

このドキュメントでは、SSLインスペクションによってWebロードの問題を引き起こす可能性があるBrotli圧縮サポートが無効になる特定のSWGの制限について説明します。

バックグラウンド情報

Cisco Secure Web Gateway(SWG)でSSLインスペクション（HTTPS復号化）が有効になっている場合、主な制限は、SWGが現在Brotli圧縮をサポートしていないことです。この制限は、SSL復号時のコンテンツのエンコーディングヘッダーの処理方法に影響を与え、コンテンツの問題やWeb資産のロードが不完全になる可能性があります。

問題

実際、SWGがBrotliをサポートしていないため、プロキシはBrotli(br)を含むAccept-Encodingヘッダーを削除または変更します。 その結果、サーバは、正しいapplication/javascriptの代わりにapplication/x-gzipなどの予期しないMIMEタイプで応答する可能性があります。このMIMEタイプの不一致により、ChromeのOpaque Response Blocking(ORB)などのブラウザセキュリティ機能がトリガーされ、コンテンツがブロックされて潜在的なセキュリティリスクが回避されます。その結果：

- Brotliで圧縮された資産は、SSL復号時にSWGで適切に処理または認識できません。

- プロキシがAccept-EncodingヘッダーからBrotliを削除すると、サーバは誤ったMIMEタイプのコンテンツを提供します。

- ブラウザがコンテンツをブロックするため、重要なWebアセットのロードが失敗します。

ソリューション

この問題を軽減するには、影響を受けるドメインのSSL復号化を「復号化しない」リストに追加することで、それらのドメインのSSL復号化をバイパスすることが推奨されます。これにより、MIMEタイプの不一致やコンテンツのブロックが防止されます。また、Cisco Secure Web GatewayはBrotli圧縮をサポートし、近い将来に最新のWebコンテンツのエンコーディングの処理を改善することが期待されます。

関連情報

- シスコのテクニカルサポートとダウンロード

- その他のセキュアアクセスに関する文書