サイトのSSLは定期的に確認していますか？

Toda Tomohiro

2020.08.18

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、コンサル部＠大阪オフィスのTodaです。

Webサイトを公開するときに常時SSLで掲載することが標準となってきていますが、導入をして放置しておくと障害や脆弱性が発生していることがあります。定期的に確認するのが良いと考えておりますので、確認を促すため記事でご紹介します。

そもそもSSLとは？

SSL(Secure Sockets Layer)は暗号化通信プロトコルの1つで、インターネット接続をしたブラウザとサーバ間の通信を暗号化して悪意のある第三者に盗聴、改ざんを防ぐ機能になります。

所有サイトのSSLを確認

Qualys SSL Labs の SSL Server Test は簡単にSSLのテスト・設定確認を行うことができます。

Qualys SSL Labs - SSL Server Test

Hostname欄に確認したいサイトのドメインを入力してSubmitを押します。
結果を公開したくない場合は「Do not show the results on the boards」をチェックしてください。

下記の場合はTLS1.0と1.1が有効なため注意が表示されます。
今回はTLS1.0と1.1を無効化する対応をしてみたいと思います。

無効化するにあたり注意する点

TLS1.0と1.1を無効化する場合、一部古いスマートフォン、ブラウザでアクセスができなくなります。サービスや利用者に公開しているサイトの場合は事前告知などでお知らせする必要があります。

※アクセスできなくなるスマートフォン、ブラウザ
Android 2.3.7
Android 4.0.4
Android 4.1.1
Android 4.2.2
Android 4.3
Internet Explorer 7 / Windows Vista
Internet Explorer 8-10 / Windows 7
Safari 5.1.9 / OS X10.6.8
Safari 6.0.4 / OS X 10.8.4

実際に無効化してみる

ELB (SSL設定) + Webサーバの場合

AWSコンソールにログインしてロードバランサーの設定画面に移動します。
対象のELBを選択した状態でリスナータブ内の変更対象を選択して編集を押します。

変更画面にセキュリティポリシーを指定する項目がございます。
セキュリティポリシーを設定する事でSSL/TLSのバージョンと暗号スイートの設定が行われます。
セキュリティポリシーの選択による組み合わせは下記サイトをご確認ください。

Create an HTTPS listener for your Application Load Balancer

今回はTLS1.0と1.1を無効化する対応になりますのでセキュリティポリシーの選択は「 TLS-1-2-Ext-2018-06 」を選択します。選択後は更新ボタンを押して反映します。

設定が完了して再度Qualys SSL LabsでテストをしたところA判定を頂く事ができました！

Nginxの場合

サーバのコンソールにログインしてSSLの設定が記述されているファイルを操作します。
下記設定変更後にサーバを再起動することで適用されます。


listen 443 ssl http2;
listen [::]:443 ssl http2;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;  # (変更前) 
ssl_protocols TLSv1.2;                # (変更後) TLS1.0と1.1 を削除
server_name XXXXXXXXXXXXX;