編集部からのお知らせ
新着・電子インボイスの記事まとめ
記事まとめDL:オンライン確認「eKYC」

NSA、TLSプロトコルの更新を連邦機関のシステム管理責任者に勧告--オランダでも

Catalin Cimpanu (ZDNet.com) 翻訳校正: 緒方亮 吉武稔夫 (ガリレオ)

2021-01-21 12:50

 米国家安全保障局(NSA)は1月に入って、古くなったTLSプロトコルの利用停止を連邦機関のシステム管理責任者などに促すセキュリティ勧告を出している。

提供:kt000545 on Reddit
提供:kt000545 on Reddit

 「TLS 1.2またはTLS 1.3のみを使用し、SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1は使わないようNSAは勧告する」とされている。

 また、「旧式の暗号を使用すると、実際は違うにもかかわらず機密データが保護されているように見えることから、誤った安心感を与える」と書かれている。

 TLS 1.2/1.3を導入している場合についても、弱い暗号化パラメーターと暗号スイートで構成しないよう、NSAは警告している。

 「TLS 1.2で特に弱い暗号化アルゴリズムとされているのは、NULL(暗号化なし)、RC2、RC4、DES、IDEA、TDES/3DESであり、これらのアルゴリズムが使われている暗号スイートは用いるべきではない」としている。

 さらに「TLS 1.3ではこれらの暗号スイートが除外されているが、TLS 1.3とTLS 1.2の両方をサポートする実装は、旧式の暗号スイートが使われてないか確認するべきだ」と書いている。

 内部ネットワークで旧式のTLSプロトコル構成がまだ使われていないか、システム管理責任者がシステムを確認する際に役立つツールのリストが、NSAのGitHubプロフィールで公開されている。

オランダでも同様に

 NSAの5日の勧告と同じ内容の文書が現地時間19日、オランダのNSAに当たる国家サイバーセキュリティセンター(NCSC)から出された。

 オランダのNCSCもこの警告PDF)で、「将来にわたって有効」な構成にする取り組みの一環としてTLS 1.3に移行するよう、政府機関と民間企業に勧めている。

 この両国の警告に先立ち、2020年の中ごろには、主要ウェブブラウザーがセキュリティ上の理由からTLS 1.0/1.1のサポートを停止した。セキュリティ企業であるNetcraftの2020年3月に公表した報告では、HTTPSのトラフィックの暗号化にまだTLS 1.0/1.1を使っているウェブサイトが約85万あったが、この数字はその後、ゆっくりと減少している。

 NSAは勧告で、TLSは新しい攻撃が絶えず見つかっており、「常に悪意ある行為者の能力の上手を行き、重要情報を保護する」には最新のTLSプロトコルを使用すべきだと警告している。

この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]