TLSってなに?
Transport Layer Security（トランスポート・レイヤー・セキュリティ、TLS）は、インターネットなどのコンピュータネットワークにおいてセキュリティを要求される通信を行うためのプロトコルである。主な機能として、通信相手の認証、通信内容の暗号化、改竄の検出を提供する
Transport Layer Security - Wikipedia
SSLとどう違うの?
以前はSSLと呼ばれていた。SSL3.0の後に、TLS1.0と名前が変わった
- SSL3.0は、使用上の脆弱性(POODLE) が発見されてTLS1.0への移行が推奨。2015/06 には、RFC 7568 で使用が禁止されている
HTTPSとどう違うの?
HTTPをTLSで通信をセキュアにしたものがHTTPS
- HTTP+TLS=HTTPS
TLSは複数のバージョンがあるみたいだけど?
2020/10/12 現在、TLS 1.0/1.1/1.2/1.3 がある。サーバもブラウザも複数のバージョンのTLSを取り扱うことができる
サーバ管理しているのだけど、どのバージョンまで許可すればよいの?
TLS1.0/1.1は無効化して、TLS 1.2/1.3のみを許可するのが良さそう
TLS1.0/1.1 は、暗号鍵の長さなどによって通信内容が漏洩するなどの脆弱性があり、主要ブラウザはすでにTLS1.0/1.1を無効化している
IPAもTLS1.0/1.1 を「非推奨」としている
だけど、それなりに古いブラウザのユーザはいるので、その辺はどれくらい売上に影響があるかと、リスクのバランスを取って決めたら良いのかな...? って思ってる(できる限り対応すべきではあるけど
他の会社はどうしてるの? ビジネス側を説得するのに知りたい
楽天やYahoo! は2018年にTLS1.0/1.1をすでに無効化している
個人情報扱ってないから問題ないかな?
通信内容が漏洩すると「中間者攻撃」のリスクもあるので、できるだけ対応した方が良いと思っている
中間者攻撃?
サーバとブラウザの間で通信を読み取って、改ざんしたり、情報を詐取する攻撃のこと
実際にTSL1.2以前のバージョンにおいて、中間者攻撃が可能な脆弱性が発見されている
AWSのELBで TLS1.0/1.1 を無効化するにはどうしたらよいの?
リスナーの SSL Policy を ELBSecurityPolicy-TLS-1-2-Ext-2018-06 にすれば、TLS 1.2 以上のみ許可するようになる
デフォルトの ELBSecurityPolicy-2016-08 は TLS 1.0/1.1 も許可するので注意
