サーバのTLSセキュリティ設定でIPAの資料がとても親切だった
Sep 12, 2021 17:35 · 1674 words · 4 minute read
サーバの設定を確認する機会がありました。
「TLSの設定ってどうするのがいいんだっけ？」とググったところ、IPAさんの資料がとても参考になったのでブログにメモを残しておきます。
TLS暗号設定ガイドライン～安全なウェブサイトのために（暗号設定対策編）～：IPA 独立行政法人 情報処理推進機構
目次
TLS暗号設定の確認方法
現在接続しているTLSの暗号設定はブラウザから確認することができます。
Firefoxの場合、ブラウザのアドレスバーの左端にある鍵マークをクリックし、「詳細情報–>技術情報」を確認します。
下図はこのブログにアクセスしている場合の画像です。「TLS_AES_256_GCM_SHA384 鍵長256bit、TLS1.3」で接続されていることがわかります。
TLS暗号設定ガイドラインとは
IPAが公開しているTLS暗号設定の推奨情報をまとめたドキュメントです。
- SSL/TLSの歴史
- 鍵交換方式や暗号化アルゴリズムの概要解説
- 遵守すべき設定と推奨設定の解説
といった情報がまとめられています。
遵守すべき設定と推奨設定については、サーバの利用用途や状況に応じて
- 高セキュリティ型
- 推奨セキュリティ型
- セキュリティ例外型
に分けて記載してあるので、そのまま自身の必要なレベルに合わせた設定を流用することができます。
それぞれの型の定義は下記の通り。
高セキュリティ型
高い安全性の確保を必要としているケースでの利用を想定した設定内容。
相互接続性を多少犠牲にしても安全性を重視する。
利用例
特にセキュリティが重要視されるシステム
推奨セキュリティ型
ほぼ全ての一般的な利用形態で使うことができる内容。
相互接続性と安全性の両方を重視し、利便性と安全確保のバランスを考えた設定。
利用例
電子行政サービスや電子商取引サービスを提供するシステム
セキュリティ例外型
脆弱な暗号が使われることを許容した上で、安全性よりも相互接続性をやむなく優先する場合。
推奨設定に移行する間の暫定措置としての設定
利用例
利用する既存システムとの相互接続の制約があるシステム
比較表
それぞれの型の比較表は「TLS暗号設定ガイドライン」の「3.1 実現すべき設定基準の考え方」にある「表 12 要求設定の概要」に記載されています。
設定内容一覧
ここが本題です。
「TLS暗号設定ガイドライン」では、「4. 推奨セキュリティ型の要求設定」、「5. 高セキュリティ型の要求設定」、「6. セキュリティ例外型の要求設定」のそれぞれの章に設定内容の詳細がまとめられています。
それぞれの章には優先度を含めた推奨設定表が記載されているので、表の優先順に従って暗号スイート設定をすることで目的のレベルに応じた設定が完了します。
推奨セキュリティ型の表は「表 19 推奨セキュリティ型での暗号スイートの推奨設定」、 高セキュリティ型の表は「表 25 高セキュリティ型での暗号スイートの推奨設定」です。
それぞれの表にはA、B、C・・・というグループが設定されており、Aが最も優先すべき設定です。
自身の環境に合わせて、優先順に設定します。
表19の一部抜粋
サーバの設定方法
選択できる鍵交換方式や暗号スイートを網羅した上で優先順をつけてくれているだけでも大変ありがたいのですが、IPAさんはそこで終わりません！
「TLS 暗号設定 サーバ設定編」では「Apache」「nginx」「lighttpd」といった環境に応じた設定方法までまとめてくれています。
- どのファイルに記載するのか？
- 何を記載するのか？
といった内容がコピペできるレベルで記載されている親切具合。
親切過ぎます。IPAさんありがとうございます。
最後に
IPAさんが公開している「TLS暗号設定ガイドライン」の内容がとても良かったので、将来の自分に向けたメモ書きのつもりで記事にしました。
暗号技術の情勢に応じて改定されているので、時々チェックしていこうと思います。