SHA-2非対応のブラウザからはHTTPS接続ができなくなる件
スポンサーリンク
先日「えきねっと」から以下のようなメールを受信しました。
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
「SHA-2」方式非対応の携帯電話、スマートフォンならびにパソコンでは
えきねっとをご利用いただけなくなります
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
えきねっとでは、お客さまの大切な情報を保護するために暗号化して
通信を行っておりますが、この暗号化通信に必要なサーバ証明書につ
いて、現在使用している「SHA-1」方式が使用できなくなることに伴い、
さらにセキュリティレベルの高い「SHA-2」方式へ2016年5月24日（火）
に更新を行います。
更新後は、「SHA-2」方式に対応していない携帯電話、スマートフォン
ならびにパソコンでは、えきねっとをご利用いただけなくなります。
お手数ですが、お客さまのご利用環境をご確認いただき、該当のお客
さまにおかれましては、ご利用環境の変更、ブラウザの更新によりご
対応いただきますようお願いいたします。
ご不便をおかけいたしますが、何卒ご理解を賜りますようお願い申し
上げます。
▽えきねっとサイト内に詳しいご案内を掲出しております。
↓↓↓
http://mc.eki-net.com/mail/u/l?p=SgbatowGl2DVx0hbnqIF3QZ
▽「SHA-2」に対応しているかどうか確認する方法
以下のシマンテック社の確認サイトにアクセスすることで、お客
さまのご利用環境が「SHA-2」に対応しているか確認することが
できます。
シマンテック社の確認サイト
↓↓↓
http://mc.eki-net.com/mail/u/l?p=SgbatowGl2AklAcUhH_e4wZ
同様のメールを受信した方は多いと思いますが、「SHA-2」が何なのかには一切触れないこのメールを理解できている方は、いったいどの程度いるでしょうか？
直近でこういう記事を書いたこともあり、本メールについて簡単に解説してみようと思います。
本メールを理解するためには、まずサーバー証明書の作り方を理解する必要があります。作り方の詳細は前述の記事を読んでいただくとして、本記事ではさらっと紹介することにします。
サーバー証明書は、認証局が CSR に署名(デジタル署名)することで作成されます。そしてデジタル署名とは、CSR のハッシュ(指紋)を求めて、認証局が持つ秘密鍵で暗号化したものです。
署名の過程で「CSR のハッシュ(指紋)」を求めるという手順が出てきましたね。このハッシュを求めるために使われるものこそ「SHA-1」や「SHA-2」と呼ばれる計算式(ハッシュ関数)なのです。
これらのハッシュ関数には次のような要件が存在しています。
上記の要件を満たす場合、暗号強度が強いと表現することができます。
近年、技術の進歩で SHA-1 の暗号強度が弱まりつつあり、安全とはいえなくなってきました。そこで、より暗号化強度の高いハッシュ関数として「SHA-2」が開発されたわけです。
しかし、新しいハッシュ関数にはひとつ問題がありました。新しいが故に、古いクライアント(OS、ブラウザ)はその計算式を知らないのです。そのため、古いクライアントは電子署名にSHA-2が使われたサーバー証明書を検証することができません。
これが、メール本文にある
更新後は、「SHA-2」方式に対応していない携帯電話、スマートフォンならびにパソコンでは、えきねっとをご利用いただけなくなります。
という結果を引き起こす原因になります。
なお、SHA-2 に対応していないクライアントというのは、現状 Windows Server 2003 と Windows XP、そしてガラケーくらいと認識しています。Windows 系に関してはすでに MS のサポートが切れている OS ですので、HTTPS のセキュリティをどうこう言っている場合ではありません。ただちにアップグレードしましょう。
というわけで、SHA-2 に対応していないクライアントは事実上ガラケーのみってことでよさそうです。本メールをガラケーで読んでいる方は2016年5月24日（火）にえきねっとへアクセスできなくなりますので注意しましょう。(そもそもガラケーからアクセス可能なのか不明ですが)
あともう１点。現時点で署名に SHA-1 を使ったサーバー証明書でサービスを運用している方は、年内を目途に SHA-2 のサーバー証明書に差し替えるようにしてください。どの認証局も、もう SHA-1 を使った証明書は発行してくれないはずなので、有効期限が1年であれば次回発行する証明書は勝手に SHA-2 になるはずです。有効期限が長いサーバー証明書で運用している方は注意しましょう。
SHA-1 のサーバー証明書をどう扱うのか、各OSおよびブラウザベンダー毎の動作指針がこちらのサイトにわかりやすくまとめられていますので、参考にどうぞ。
