Red Hat Training

A Red Hat training course is available for Red Hat Enterprise Linux

4.13.2. TLS の実装の使用

Red Hat Enterprise Linux 7 には、TLS のフル機能の実装が複数同梱されています。本セクションでは、OpenSSL および GnuTLS の設定を説明します。個々のアプリケーションで TLS サポートを設定する方法についての詳細は、「特定のアプリケーションの設定」 を参照してください。
利用可能な TLS 実装は、TLS -secured 通信の確立および使用時に一緒に提供されるすべての要素を定義する、さまざまな暗号スイートをサポートします。
異なる実装に含まれるツールを使用して、「有効にするアルゴリズムの選択」 で説明している推奨事項を考慮しながら、ユースケースに最適なセキュリティーを提供する暗号スイートの一覧を表示および指定します。これにより、暗号スイートを使用して、個々のアプリケーションが接続をネゴシエートしてセキュアな接続をネゴシエートする方法を設定できます。
重要
使用する TLS 実装の更新またはアップグレードを実行するか、その実装を使用するアプリケーションごとに設定を確認してください。新しいバージョンでは、有効になっていないものと、現在の設定が無効にならないようにする新しい暗号スイートが導入される可能性があります。

4.13.2.1. OpenSSL での暗号スイートの使用

OpenSSL は、SSL プロトコルおよび TLS プロトコルをサポートするツールキットおよび暗号ライブラリーです。Red Hat Enterprise Linux 7 では、設定ファイルは /etc/pki/tls/openssl.cnf にあります。この設定ファイルの形式は、config(1) で説明されています。「OpenSSL の設定」 も参照してください。
OpenSSL のインストールでサポートされるすべての暗号スイートの一覧を取得するには、以下のように ciphers サブコマンドとともに openssl コマンドを使用します。 
~]$ openssl ciphers -v 'ALL:COMPLEMENTOFALL'
（OpenSSL ドキュメントの暗号文字列および キーワード と呼ばれる）を ciphers サブコマンドに渡して、出力を絞り込むようにします。特別なキーワードを使用すると、特定の条件を満たすスイートのみを一覧表示することができます。たとえば、HIGH グループに属するものとして定義されているスイートのみを一覧表示するには、以下のコマンドを使用します。 
~]$ openssl ciphers -v 'HIGH'
利用可能なキーワードおよび暗号文字列の一覧については、ciphers(1) man ページを参照してください。
「有効にするアルゴリズムの選択」 に記載されている推奨事項を満たす暗号スイートの一覧を取得するには、以下のようなコマンドを使用します。 
~]$ openssl ciphers -v 'kEECDH+aECDSA+AES:kEECDH+AES+aRSA:kEDH+aRSA+AES' | column -t
ECDHE-ECDSA-AES256-GCM-SHA384  TLSv1.2  Kx=ECDH  Au=ECDSA  Enc=AESGCM(256)  Mac=AEAD
ECDHE-ECDSA-AES256-SHA384      TLSv1.2  Kx=ECDH  Au=ECDSA  Enc=AES(256)     Mac=SHA384
ECDHE-ECDSA-AES256-SHA         SSLv3    Kx=ECDH  Au=ECDSA  Enc=AES(256)     Mac=SHA1
ECDHE-ECDSA-AES128-GCM-SHA256  TLSv1.2  Kx=ECDH  Au=ECDSA  Enc=AESGCM(128)  Mac=AEAD
ECDHE-ECDSA-AES128-SHA256      TLSv1.2  Kx=ECDH  Au=ECDSA  Enc=AES(128)     Mac=SHA256
ECDHE-ECDSA-AES128-SHA         SSLv3    Kx=ECDH  Au=ECDSA  Enc=AES(128)     Mac=SHA1
ECDHE-RSA-AES256-GCM-SHA384    TLSv1.2  Kx=ECDH  Au=RSA    Enc=AESGCM(256)  Mac=AEAD
ECDHE-RSA-AES256-SHA384        TLSv1.2  Kx=ECDH  Au=RSA    Enc=AES(256)     Mac=SHA384
ECDHE-RSA-AES256-SHA           SSLv3    Kx=ECDH  Au=RSA    Enc=AES(256)     Mac=SHA1
ECDHE-RSA-AES128-GCM-SHA256    TLSv1.2  Kx=ECDH  Au=RSA    Enc=AESGCM(128)  Mac=AEAD
ECDHE-RSA-AES128-SHA256        TLSv1.2  Kx=ECDH  Au=RSA    Enc=AES(128)     Mac=SHA256
ECDHE-RSA-AES128-SHA           SSLv3    Kx=ECDH  Au=RSA    Enc=AES(128)     Mac=SHA1
DHE-RSA-AES256-GCM-SHA384      TLSv1.2  Kx=DH    Au=RSA    Enc=AESGCM(256)  Mac=AEAD
DHE-RSA-AES256-SHA256          TLSv1.2  Kx=DH    Au=RSA    Enc=AES(256)     Mac=SHA256
DHE-RSA-AES256-SHA             SSLv3    Kx=DH    Au=RSA    Enc=AES(256)     Mac=SHA1
DHE-RSA-AES128-GCM-SHA256      TLSv1.2  Kx=DH    Au=RSA    Enc=AESGCM(128)  Mac=AEAD
DHE-RSA-AES128-SHA256          TLSv1.2  Kx=DH    Au=RSA    Enc=AES(128)     Mac=SHA256
DHE-RSA-AES128-SHA             SSLv3    Kx=DH    Au=RSA    Enc=AES(128)     Mac=SHA1
上記のコマンドにより、安全でない暗号がすべて省略され、一時楕円曲線 Diffie-Hellman 鍵交換および ECDSA 暗号の設定が行われ、RSA 鍵交換は省略されます （perfect forward secrecy確保が確保されます）。
これは、厳密な設定ではなく、実際に使用するシナリオで条件を緩和する必要がある場合があり、より広範なクライアントとの互換性を可能にするために、実際のシナリオで条件を緩和する必要がある場合があります。
このページには機械翻訳が使用されている場合があります (詳細はこちら)。