HOMEIPAについて新着情報プレス発表 サーバーの構築者、管理者等向けの「TLS暗号設定ガイドライン」を公開

本文を印刷する

IPAについて

プレス発表 サーバーの構築者、管理者等向けの「TLS暗号設定ガイドライン」を公開

~TLS1.3の採用・SSL3.0の禁止を盛りこみ、TLSサーバーでの要求設定を全面改訂~

2020年7月7日
独立行政法人情報処理推進機構

 IPA(独立行政法人情報処理推進機構、理事長:富田 達夫)セキュリティセンターは、2015年以降のSSL/TLS(*1)通信の規格化およびサポートの状況を踏まえ、2020年3月時点におけるTLS通信での安全性と相互接続性のバランスを考慮したウェブサーバーでのTLS暗号設定方法をまとめた「TLS暗号設定ガイドライン」を本日公開しました。

 URL: https://www.ipa.go.jp/security/vuln/ssl_crypt_config.html

 各種インターネットサービスでは、安全に通信する仕組み(プロトコル)としてSSL/TLS通信が標準的に利用されています。そのSSL/TLS通信は1994年のプロトコル開発以来、その時々のセキュリティ対策を組み込んだ結果、複数のバージョンが作られてきました。よって、一口にSSL/TLS通信といっても、ウェブサーバーとブラウザーの設定次第で実現される安全性が異なるという問題がありました。

 IPAではこれまでにSSL/TLS暗号設定ガイドラインを2版公開(*2)していますが、第2版の発行後、記載内容に大きく影響するSSL/TLS通信の規格化が相次いで行われ、改訂が望まれていました。

 本日公開の「TLS暗号設定ガイドライン」は、前述の問題と技術環境の変化を反映させるため、暗号技術評価プロジェクトCRYPTREC(*3)が記載内容の全面的な見直しを行ったものです。サーバーの構築者および管理者、サーバーの構築を発注するシステム管理者を想定読者としています。

  • ● ガイドラインの特長
    1. 2020年3月時点におけるTLS通信での実現すべき安全性と必要となる相互接続性とのトレードオフを考慮した、3つの設定基準(*4)を提示(別紙参照)。
    2. 設定基準に対応するプロトコルバージョン、サーバー証明書、暗号スイートの詳細な要求設定(*5)を提示。
    3. 要求設定に基づいたサーバー設定を支援するチェックリスト及び参考ガイドを用意
  • ● 従来の暗号設定ガイドライン(Ver.1、2)との差異
    1. TLS1.3の採用及びSSL3.0の禁止に伴い、一段高い安全性を各設定基準に要求
      既存のSSL/TLS暗号設定ガイドラインを利用している場合は、最新版の要求設定に基づいた見直しを行い、必要に応じた設定変更を推奨します。
      SSL/TLS暗号設定ガイドライン
      (version 1.x/2.x)
      TLS暗号設定ガイドライン
      (version 3.x)
      高セキュリティ型
      (TLS1.2)
      高セキュリティ型
      (TLS1.3(必須)及びTLS1.2(オプション))
      推奨セキュリティ型
      (TLS1.2 ~ TLS1.0のいずれか)
      (PFSなしも推奨)
      推奨セキュリティ型
      (TLS1.2(必須)及びTLS1.3(オプション))
      (PFSのみ推奨)
      セキュリティ例外型
      (TLS1.2 ~ SSL3.0のいずれか)
      セキュリティ例外型
      (TLS1.3 ~ TLS1.0のいずれか)
    2. 要求設定において、従来の「遵守項目」に「推奨項目」を追加
      これまでの、必ず満たさなければならない「遵守項目」に加え、よりよい安全性を実現するために満たすことが望ましい「推奨項目」を追加しました。それは、サーバーによっては「遵守項目」であるにも関わらずその通りに設定できない事例が多数あり、こうしたケースを推奨項目と位置付けたためです。これにより現実的かつ実効性が高い要求設定が可能になります。
    3. チェックリスト及び参考ガイドの改訂
      ・チェックリスト
      「選択した設定基準に対応した要求設定項目の設定忘れの防止」と「サーバー構築の作業受託先が適切に要求設定項目を設定したことを確認」するためのリストを改訂
      ・参考ガイド:サーバー設定編・暗号スイート設定編
      主要なオープンソースを利用したサーバーでの具体的な設定を支援するためのガイドで、見直された要求設定に準拠する具体的な設定方法を解説。

 「TLS暗号設定ガイドライン」、「チェックリスト」、及び参考ガイド(「TLS暗号設定 サーバ設定編」と「TLS暗号設定 暗号スイート編」)は以下のURLからダウンロードできます。

 URL:https://www.ipa.go.jp/security/vuln/ssl_crypt_config.html

 本ガイドライン、チェックリストおよび参考ガイドが広く活用され、ウェブサーバーで適切なTLS暗号設定が行われることにより、安全なインターネット社会の実現の一助となることを期待しています。

脚注

  • (*1)SSL(Secure Socket Layer )/TLS(Transport Layer Security):インターネット通信を暗号化する技術
  • (*2)2015年5月にVer.1、2018年5月Ver.2。https://www.ipa.go.jp/security/vuln/ssl_crypt_config.html
  • (*3)CRYPTREC(クリプトレック)総務省及び経済産業省が共同で運営する暗号技術検討会と、国立研究開発法人情報通信研究機構(NICT)及び独立行政法人情報処理推進機構(IPA)が共同で運営する暗号技術評価委員会及び、暗号技術活用委員会で構成される。https://www.cryptrec.go.jp/about.htmloutside_link
  • (*4)「高セキュリティ型」「推奨セキュリティ型」「セキュリティ例外型」の区分け基準のこと
  • (*5)設定基準で選択した区分けに必要な、設定すべき具体的な要求事項のこと

プレスリリースのダウンロード

本件に関するお問い合わせ先

IPA セキュリティセンター 暗号グループ 神田、橋本

Tel: 03-5978-7545  E-mail: 電話番号:03-5978-7545までお問い合わせください。

報道関係からのお問い合わせ先

IPA 戦略企画部 広報戦略グループ 白石

Tel: 03-5978-7503  E-mail: 電話番号:03-5978-7503までお問い合わせください。