この記事を読むのに必要な時間は約 2 分です。
常時SSL化してもそれだけで安全とは限りません。
SSL通信に使用するプロトコルには、安全性を認められなくなったものがいくつかあります。
サイトをSSL化したらSSLサーバー検証のできるsslabs.comにてチェックしてみましょう。
私も当初は「Cランク」という残念な結果に終わりました。
A comprehensive free SSL test for your public web servers.
何がいけないのか、検証結果を詳しく見たところ、Protocolsの値がTLS1.0 SSL3.0 SSL2.0という脆弱性が認められ現在非推奨となっている過去のバージョンを使用していたことが判明しました。
Winサーバーのプロトコルを変更するにはレジストリをゴニョゴニョすればいいのですが、稼働状態のサーバーにこれは危険です。
そこで、この IISCryptoを使って変更することにしました。(自己責任)
右上のDownloadから落とせます。
二種類の中から好きな方を選びます。
DLしたら立ち上げます。
上のように必要なプロトコルを選択し、不要なプロトコルのチェックを外します。
重要なのはTLS1.2。
それ以外は除外(チェックを外す)する。
よくわからなければ、左下のBest Practicesでも良さげです。
Applyで再起動。
再度、sslabs.com にてチェック。
無事にAランクとなりました。
めでたしめでたし。
