TLSの最小バージョンをTLS v1.2に
「Ubuntu 20.04 LTS」では、「TLS」の最小バージョンを「TLS v1.2」に設定する方針が検討されています。
TLS
「TLS（Transport Layer Security）」はインターネット（ネットワーク）の通信において、通信内容を暗号化し安全性を向上させるための仕組みであり、今日幅広く利用されている標準化された規格です。「TLS」はデスクトップPCやサーバー、そしてモバイルデバイスまで幅広くサポートされています。
「TLS」には複数のバージョンがありますが、安全性の向上を目的に時間の経過と共に新しいバージョンがリリースされています。
特に古いバージョンでは、安全性に何かしらリスクが存在することになります。
現在「TLS」の最新バージョンは「TLS v1.3」です。
Ubuntu 18.04 LTSでTLS v1.3のサポート
「Ubuntu 18.04 LTS」では「OpenSSL 1.1.1」のアップデートが提供されており、「OpenSSL 1.1.1」で「TLS v1.3」を利用した接続がサポートされています。
15%以上のウェブサイトがTLS v1.3をサポート
以下の統計によると、2019年8月時点で15%以上のウェブサイトが「TLS v1.3」をサポートしており、「TLS v1.3」のサポート状況は今後ますます増加していくものと思われます。TLS v1.0/TLS v1.1は非推奨
「Apple」や「Google」そして「Microsoft」では、将来的に「TLS v1.0」及び「TLS v1.1」をデフォルトで非サポートにし、サーバー及びクライアントに「TLS v1.2」以降の「TLS」を要求するようになります。- Deprecation of Legacy TLS 1.0 and 1.1 Versions（Apple）
- Modernizing Transport Security（Google）
- Modernizing TLS connections in Microsoft Edge and Internet Explorer 11（Microsoft）
このような状況を踏まえ
このような状況を踏まえ「Ubuntu」でも、古いバージョンである「TLS v1.0」及び「TLS v1.1」のサポートを止め、よりセキュアな「TLS v1.2」以降に移行する方針が検討されています。現在のUbuntuでTLS v1.0/TLS v1.1を無効にするには
現在の「Ubuntu」で「TLS v1.0」及び「TLS v1.1」を無効にする方法を紹介しています。「TLS v1.0/TLS v1.1」を無効した環境を用意すれば、接続できないウェブサイトや動作しないシステム、及びアプリの発見に役立てることができます。
Google Chromeで無効化するには
「Google Chrome」で「TLS v1.0/TLS v1.1」を無効化するには、以下の手順を実施します。1.ポリシーディレクトリーの作成
「端末」を起動し以下のコマンドを実行します。
sudo mkdir -p /etc/opt/chrome/policies/managed
2.ファイルの作成
上記のディレクトリー内に「mintlsver.json」ファイルを作成し、以下の内容を記述します。
{
"SSLVersionMin" : "tls1.2"
}
"SSLVersionMin" : "tls1.2"
}
Firefoxで無効化するには
「Firefox」で「TLS v1.0/TLS v1.1」を無効化するには、以下の手順を実施します。1.設定画面の表示
URLバーに「about:config」を入力し、「エンター」キーを押します。2.設定項目の検索
「security.tls.version.min」設定を検索します。3.設定の入力
設定値に「3」を入力します。これで「TLS」の最小バージョンが「TLS v1.2」以降になります。
OpenSSLで無効化するには
「OpenSSL」で「TLS v1.0/TLS v1.1」を無効化するには、以下の手順を実施します。1.ファイルを開く
「/etc/ssl/openssl.cnf」ファイルを「root」で開きます。2.設定の追記
「oid_section」設定を検索し、「oid_section」の下に以下の記述を追記します。
# System default
openssl_conf = default_conf
[default_conf]
ssl_conf = ssl_sect
[ssl_sect]
system_default = system_default_sect
[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2
openssl_conf = default_conf
[default_conf]
ssl_conf = ssl_sect
[ssl_sect]
system_default = system_default_sect
[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2
GnuTLSで無効化するには
「GnuTLS」で「TLS v1.0/TLS v1.1」を無効化するには、以下の手順を実施します。1.ディレクトリーの作成
「端末」を起動し以下のコマンドを実行します。
sudo mkdir -p /etc/gnutls/
2.設定ファイルの作成
上記のディレクトリー内に「default-priorities」ファイルを作成し、以下の内容を記述します。
SYSTEM=SECURE192:-VERS-ALL:+VERS-TLS1.3:+VERS-TLS1.2
これで多くのアプリが「TLS v1.2」以降を利用するようになります。
