![IIS Cryptoを使ってIISでSSLv3を無効化する](https://devio2023-media.developers.io/wp-content/uploads/2014/01/windowsonaws.png)
IIS Cryptoを使ってIISでSSLv3を無効化する
はじめに
AWS環境のPOODLE脆弱性対応 (CVE-2014-3566)でお伝えした通り、SSLv3の仕様上の問題に起因するセキュリティ脆弱性が発見されました。この記事ではApacheやNginxでSSLv3を無効化する方法についてご紹介致しました。
ではWindows Server(IIS)で無効化する場合にはどうするのかというと、レジストリを操作する必要があります。が、これを簡単に変更することが出来るIIS Cryptoというツールがありますので、ご紹介します。
ツールのご利用は自己責任でお願いします!
やってみる
NARTAC SOFTWAREのIIS Cryptoというページからツールをダウンロードします。今回は「IIS Crypto GUI version 1.4 build 5」をダウンロードしました。
まずは確認。Windows Server 2012でregeditを実行し、「¥¥HKEY_LOCAL_MACHINE¥System¥CurrentControlSet¥Control¥SecurityProviders¥SCHANNEL¥Protocols」を確認すると、以下のように"SSL 2.0"というキーだけが存在します。というかSSL 2.0が有効なんですね。これはこれでびっくりなんですけど。
さて、ダウンロードした"IISCrypto40.exe"を実行します。
すると以下のようにIIS Crypto画面が開きます。左上の[Protocols Enabled]を見ると、PCT1.0、SSL2.0、SSL3.0、TLS1.0、TLS1.1、TLS1.2が有効になっていることが分かります。
では、SSL2.0とSSL3.0のチェックを外し、[Apply]ボタンをクリックします。
以下のように「リブートしたら有効になりますよ」という画面が表示されます。
さて、再度regeditを起動してみると、[SSL 2.0]の下に[Server]-[Enabled]=0というキーが作られていることが分かります。
また[SSL 3.0]-[Server]-[Enabled]=0というキーが新規に作成されていることが分かります。
後はサーバを再起動すれば、SSL 3.0が(あわせてSSL 2.0が)無効になります!
さいごに
IIS CryptoはProtocolだけでなくChipersの有効無効も簡単に設定することが出来ます。レジストリエディタを触りたくない、という方には便利なツールでは無いでしょうか。もちろん、ご利用は自己責任で!