OpenSSL:SSL/TLSの脆弱性対策

昨今「OpenSSL」脆弱性に関する事象が、多くのニュースメディアで取り上げられるようになりました。代表的な事象では、昨年2014年のOpenSSLの脆弱性「HeartBleed」、2015年に入っては、SSL/TLS通信時の脆弱性「FREAK」などです。使用するサーバーのSSL/TLS「脆弱性」有無は、各種チェックツールで診断可能です。(2015/04/19作成)

Vulnerability NeuPaddy / Pixabay

1.各種チェックツール

SSL Server Test
https://www.ssllabs.com/ssltest/index.html

Symantec SSL Toolbox
https://ssltools.websecurity.symantec.com/checker/views/certCheck.jsp

Wormly Free SSL Web Server Tester
https://www.wormly.com/test_ssl/

2.脆弱性診断時の設定事例

各種チェックツールで「脆弱性診断」された場合、ディストリビューションの「OpenSSL」パッケージを最新版アップデートを行うことは元より、脆弱性の原因となっている箇所の「OpenSSL」コンフィグレーションを見直す必要があります。以下設定は、Apache(mod_ssl)を例にしています。

以上

Pocket

コメントを残す