SSLサイト安全性評価の上げ方

あなたのSSLサイトは安全ですか？

正しいサーバー証明書を利用していたとしても、Webサーバーのアップグレードが正しく行われていなかったり、利用する暗号化の設定が古かったりすると、脆弱性を突かれてしまいせっかくのSSLの目的(通信の暗号化)が果たせなくなります。
設定時に問題はなくても、後から脆弱性が見つかるということがありますので、機密性・安全性を確保するために運営しているSSLサイトの定期的な安全性のチェックは必須です。

しかし、SSLサイトが正しく機能するための要素は複数あり、一般的なサイト管理者には理解しにくい要素も少なくありません。

そこで便利なのが、SSLサイトの安全性評価を簡単に行えるこちらの Qualys SSL LABS SSL Server Test です。Qualys SSL LABS SSL Server Test は誰でも無料で利用できます。

　Qualys SSL LABS SSL Server Test　https://www.ssllabs.com/ssltest/

評価項目は、グラフ表示の「Certificate（証明書）」「Protocol Support（サポートされているプロトコル）」「Key Exchange（鍵交換）」「Cipher Strength（暗号強度）」で、100点満点で表示されます。

詳細評価項目について

評価に追加情報がある場合は more_info のリンクがあります。詳細評価は以下に分類されています。

詳細評価項目

評価に追加情報がある場合は more_info のリンクがあります。詳細評価は以下に分類されています。

• Authentication（証明書評価）

  証明書そのものの評価です。証明書の設定は含まれません。
  著名なCAの証明書を利用していれば100％になるはずです。

  • Server Key and Certificate #1　証明書と秘密鍵
  • Additional Certificates (if supplied)　中間証明書
  • Certification Paths　証明書のパス
• Configuration（各種設定）

  Configuration（各種設定）はサーバーのバージョン、セキュリティパッチ、暗号化手法などです。
  ここで問題がある場合は、セキュリティ情報などを確認して修正する必要があります。

  • Protocols　プロトコル
  • Cipher Suites　暗号アルゴリズムリスト
  • Handshake Simulation　接続確認
  • Protocol Details　セキュリティと関係の深いプロトコル詳細
  • Miscellaneous その他

判定結果は、各項目別の結果の他にA+ ～ Fまでの8段階レベルでも表示されるのですが、今回はこちらの判定結果のレベルを代表的なセキュリティ設定を行うことで上げる方法についてご紹介したいと思います。
(なお、今回紹介する内容の設定を行うことでサイトの安全性が完全に守られるわけではございませんのでご注意ください)

SSLプロトコルについて

初めにSSLとひと言で言っても様々なバージョンがありますので、そちらについて紹介します。

SSLプロトコルの種類

SSLプロトコル 各バージョンごとの概要

上記の通り、SSLv1 / SSLv2 / SSLv3 は脆弱性があるので、 現時点で使用できるものはTLSv1以上となります。

暗号化スイートについて

サーバーでの設定で重要なのが、上記で説明したSSLプロトコルと暗号化スイートの指定になりますので、続いて暗号化スイートについての説明も行います。

暗号化スイーツの指定は、SSLCipherSuite の項目で行われ、下記のような形式で記述します。

SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW

暗号方式の詳細

• !は暗号スイートを使わせない
• +は暗号スイートの追加

重要なのは、脆弱性が発見された下記の暗号化スイートを利用出来なくする設定を行うことです。

サーバーでの設定方法

①opensslのバージョンアップ

まず初めにopensslのバージョンを上げましょう。CentOSであればyumコマンドで簡単にバージョンを上げることが可能です。

# yum update openssl

②「SSLProtocol」と「SSLCipherSuite」の設定

続いて前述した「SSLProtocol」と「SSLCipherSuite」の設定を行います。ssl.conf内で下記の記述を行います。

上記の設定を行ったら、WEBサーバーをリスタートします。

最後に、Qualys SSL LABS SSL Server Test で実際にレベルが変わったか確認してみましょう。

まとめ

いかがでしたでしょうか？

冒頭でも記載しましたが、正しい設定を行っていないとせっかくの証明書を生かすことが出来ません。

話は少しそれますがGoogleが2014年にウェブマスター向けの公式ブログで、「HTTPS をランキング シグナルに使用します」というタイトルの記事を投稿したのをご存じでしょうか？

https://webmaster-ja.googleblog.com/2014/08/https-as-ranking-signal.html

これは、SSL化されたWebサイトをSEOの評価として優遇します（＝HTTPSであることが、SEO上のプラスになります）というものです。
あくまで要素の1つとしているようで、今のところSEO的な影響度としてはそこまで大きくないようですが、常時SSL化も推奨され始めた今日、SEO目的での利用も増えることでSSLサイトは今後も増えていくものと思われます。

正しい設定でサイトの安全性を確保していきましょう。