トップ   編集 凍結 差分 バックアップ 添付 複製 名前変更 リロード   新規 一覧 検索 最終更新   ヘルプ   最終更新のRSS

・暗号スイート設定

Last-modified: 2020-07-25 (土) 14:10:03
Top/・暗号スイート設定

情報システム開発契約のセキュリティ仕様作成のためのガイドライン（案）?
詳細設定対策に必要な措置

TLS/SSLの暗号スイートについて †

暗号に脆弱性が発見された場合は、修正の必要があります。製品のDefault のままでは脆弱性のある暗号が使用されてしまい、攻撃や情報漏洩の原因となります。暗号の脆弱性情報を収集し、Windows の半期リリースに合わせて、少なくとも半年に1回は暗号スイートの見直しを行ってください。

↑

暗号スイートとは †

暗号スイートは、キー交換、バルク暗号化、メッセージ認証の暗号アルゴリズムの組み合わせです。

  • キー交換アルゴリズム サーバーとクライアント間で共有キーを作成するための情報を保護します。
  • バルク暗号化アルゴリズム サーバーとクライアント間のメッセージを暗号化します。
  • メッセージ認証アルゴリズム メッセージの整合性を保証し、ハッシュ生成と署名を行います。 
    キー交換                            バルク暗号化                 楕円曲線
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SH384_P384A
                   署名                                        ハッシュ


↑

Windows Server 2016 と Windows 10 (1903) での暗号スイートのDefault比較 †

左のWindows Server 2016では、TLS_AES_256_GCM_SHA384 が優先ですが、Windows 10(1903)では、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 となっており、より高度なキー交換、署名方式が優先されています。

Windows Server 2016Windows 10 1903
TLS_AES_256_GCM_SHA384TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_AES_128_GCM_SHA256TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHATLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHATLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHATLS_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHATLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_GCM_SHA256TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA256TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHATLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHATLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_3DES_EDE_CBC_SHATLS_RSA_WITH_NULL_SHA
TLS_RSA_WITH_NULL_SHA256TLS_RSA_WITH_NULL_SHA
TLS_RSA_WITH_NULL_SHA
TLS_PSK_WITH_AES_256_GCM_SHA384
TLS_PSK_WITH_AES_128_GCM_SHA256
TLS_PSK_WITH_AES_256_CBC_SHA384
TLS_PSK_WITH_AES_128_CBC_SHA256
TLS_PSK_WITH_NULL_SHA384
TLS_PSK_WITH_NULL_SHA256



↑

Group Policy による暗号スイートの設定 †

グループポリシーで以下の順序となるよう、設定を確認してください。
[ポリシー]>[コンピューターの構成]>[管理用テンプレート]>[ネットワーク]>[SSL 構成設定］

暗号スイート文字列SCH_
USE_
STRONG_CRYPTO
で許可		TLS / SSLプロトコルバージョン
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384はいTLS 1.2
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256はいTLS 1.2
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384はいTLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256はいTLS 1.2
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384いいえTLS 1.2
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256はいTLS 1.2
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384はいTLS 1.2
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256はいTLS 1.2
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384はいTLS 1.2
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256はいTLS 1.2
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_RSA_WITH_AES_256_GCM_SHA384はいTLS 1.2
TLS_RSA_WITH_AES_128_GCM_SHA256はいTLS 1.2
TLS_RSA_WITH_AES_256_CBC_SHA256はいTLS 1.2
TLS_RSA_WITH_AES_128_CBC_SHA256はいTLS 1.2
TLS_RSA_WITH_AES_256_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_RSA_WITH_AES_128_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_RSA_WITH_3DES_EDE_CBC_SHAはいTLS 1.2、TLS 1.1、TLS 1.0
TLS_RSA_WITH_NULL_SHA256いいえTLS 1.2 注
TLS_RSA_WITH_NULL_SHAいいえTLS 1.2、TLS 1.1、TLS 1.0、SSL 3.0 注

注：アプリケーションが明示的に要求する場合にのみ使用されます。
TLS Cipher Suites in Windows 10 v1903, v1909, and v2004:https://docs.microsoft.com/en-us/windows/win32/secauthn/tls-cipher-suites-in-windows-10-v1903