2018年2月27日火曜日

Chromeで安全ではないと表示が出る問題 | ライタス株式会社

Webサイトの証明書問題は、ここ最近注目を集めており、弊社でも問合せを受け付けています。
これまでSSL証明書を使用していなかったサイトでも、いよいよ安全ではないと警告が出るようになるため、企業サイトでの対応も必要になってきます。

散発的にニュースになるので、いくつかのトピックに分け、弊社としての見解をまとめてみました。


Symantecの証明書が無効化されてしまう問題

世界的に利用者の多いVerisignを買収したSymantecの証明書部門を米Digicert社に売却しました。
これにより、一部で混乱が起きていますが、日本においては、Symantecブランドは継続されるようなので、引き続き利用は可能という見解です。
ただし、Symantec SSLの一部でブラウザChromeから信頼されなくなる問題がありますので、念のためSSLチェッカー等で確認されることをお勧めします。

詳細情報
そのSSL/TLS証明書は大丈夫? Google Chromeからhttpsサイトとして信頼してもらえなくなる場合も!? -INTERNET Watch
https://internet.watch.impress.co.jp/docs/special/1107715.html

SSLチェッカー (Symantec社提供)
https://www.websecurity.symantec.com/ja/jp/support/ssl-checker
SSLチェッカー (GlobalSign提供)
https://globalsign.ssllabs.com/

証明書鍵の強度問題

証明書は、サイトとクライアントの間の通信を暗号化するために使用する鍵の役割を果たします。
ここ最近、この暗号化鍵を解読する脆弱性が研究されており、SHA-1の暗号化鍵はすでに脆弱性が明らかになっているため、対応が必要です。
現在の一般的な証明局では、SHA-256での鍵に対応しており、SHA-1での証明書を発行することはできないようになっています。
時々発見される脆弱性に対応しないと、暗号化通信が覗き見られる可能性があるので、注意が必要です。
暗号化鍵に使用するアルゴリズムの種類は、SHA-1,SHA-256がメジャーですが、近年楕円曲線暗号というものもあるので、システムや通信の重要度によって、選択するとよいかと思います。


証明書のご購入は信頼できるベンダーへご依頼ください

弊社では、設立当初から、DigiCert社の証明書を扱っており、多様なナレッジも含め提供させていただいております。
通常の証明書ベンダーは、ご購入から簡単なサポートまでを取り扱いますが、弊社では、導入前のご相談から、取得方法のご案内、Webサーバー以外の用途(アプライアンス製品など)にご利用いただくレアケースなどの導入支援・代行、導入後の運用、脆弱性が発見されたときの対応のご相談まで、あらゆるニーズに対応が可能です。
廉価な証明書を取り扱えない分、手厚いサービスにてお応えしております。

0 件のコメント:

コメントを投稿