弱い暗号スイートをサポートしているTLSサービス

対象プラン 　

本記事は、自動診断機能の発見課題「弱い暗号スイートをサポートしているTLSサービス/TLS Service Supports Weak Cipher Suite」について、SecurityScorecard社が公開している解説記事の日本語訳です。
本課題の解決にご活用ください。

「弱い暗号スイートをサポートしているTLSサービス」について│検出方法│修正方法│解決申請の流れ

1.　「弱い信号スイートをサポートしているTLSサービス」について

TLS（Tarnsport Layer Security）は、インターネット上の通信におけるプライバシーとデータの安全性を確保するために設計されているセキュリティプロトコルです。

ウェブアプリケーションとサーバ間の通信を暗号化する際に、古い・弱い暗号を使用している場合に「弱い信号スイートをサポートしているTLSサービス」が課題として検出がなされます。

不十分な暗号を使用している場合には、攻撃者に転送中のデータを傍受・変更される可能性があります。

2.　検出方法

SecureScorecard社（以下SSC社）では、TLS解析を暗号化プロトコルまたは公開鍵の長さのいずれかにより、弱い暗号であるかを調査しています。

証明書が発見できた場合には「証明書のドメイン」「収集対象」「ポート」「証明書のプロビジョニング」に使用したIPアドレスをリストアップしています。

SSC社では鍵長が不十分（128ビット未満）、または下記の鍵が使用されている場合、弱い暗号を使用していると判断しております。（2023年3月23日現在）

• md4
• md5
• rc2
• rc4
• rsa_export
• tls_dh_*_export
• tls_dhe_*_export
  
  

3.　修正方法

発見課題を解決するために、最終的には強力な暗号のみをサポートし、十分に大きい公開鍵サイズをしたサーバを構成することが推奨されています。

また"TLS 1.1以下"と"RC4暗号"は、安全性を損なう複数の脆弱性が発見されているため使用を避けることを推奨しています。

自社で使用している暗号スイートを確認するためには、SSL/TLSスキャンツール（例：Test TLS）を使用してどの暗号を使用しているかを確認してください。

使用している暗号リストを入手し、SSCの脆弱な暗号リストを参照し弱い暗号スイートを無効化してください。

なお、Secure SketCH上では発見課題の「詳細」欄の"evidence"に、発見された脆弱な暗号が記載されております。

※上記発見課題では、以下のプロトコルを無効化する必要があります。

・TLS_RSA_WITH_RC4_128_MD5
・TLS_RSA_WITH_3DES_CBC_SHA
・TLS_RSA_WITH_RC4_128_SHA(0x0005)
・TLS_RSA_WITH_RC4_128_MD5(0x0004)
・TLS_RSA_WITH_RC4_128_SHA
・TLS_RSA_WITH_3DES_EDE_CBC_SHA

4.　解決申請の流れ

解決申請する際、解決方法を以下の2つより選択して申請をしてください。

解決申請の提出方法は、こちらをご参照ください。

• 誤検知であった（I cannot reproduce this issue and I think it's incorrect）
• 発生している課題に対処済み（I have fixed this）