2015年いっぱいでOpenSSL0.9.8のアップデートが無くなる?
CentOS5をまだ使っているリスク~OpenSSLのサポート期限
CentOS5で普通にyumでOpenSSLをインストールしてWebサーバと使っているものがあるのですが、ちょっと気になるニュースがありました。
- CentOS5の提供しているOpenSSLは0.9.8系ですが、OpenSSL 0.9.8のメンテナンスは2015いっぱいとなります。 https://www.openssl.org/blog/blog/2014/12/23/the-new-release-strategy/
- CentOSのサイトでも話題になっていて、Redhat/CentOS系は重大な脆弱性はbackport修正はするようです https://www.centos.org/forums/viewtopic.php?f=24&t=51408
クレジットカード処理におけるTLS 1.0の使用が非推奨に
PCI SSC(クレジットカードのセキュリティ標準を定める団体)発表
http://pcireadycloud.com/blog/2015/06/02/283/
http://security.srad.jp/story/15/06/01/0555202/
※クレジットカード系のシステムはTLS1.0は2016/6/30で使用禁止のようです
→2015/12/18付けで非推奨期限が2016/6/30→2018/6/30に延期されたようです。
(苦情が多くて折れたという噂)
https://www.pcisecuritystandards.org/pdfs/15_12_18_SSL_Webinar_Press_Release_FINAL.pdf
それに伴い、予定していた仕様変更を撤回する決済業者も出てくるかもしれません。。。
SSLのプロトコルの設定は厳しくすればするほどいいのか?
そんなことはない
http://www.ipa.go.jp/files/000045645.pdf
のp19~プロトコルバージョンの設定参照
- 高セキュリティ型
- 推奨セキュリティ型
- セキュリティ例外型
とあるように、SSL導入しているものの中でも、どのレベルの要求があるのか検討した上で対応したい
まとめ
- CentOSのOpenSSLは2015-12-31を過ぎても脆弱性修正はしてくれる
- CentOS5のサポート期限(2017-03-31)を迎えるので早い目にOSを新しくしておいた方が無難でしょう
- クレジット決済システムなど、高セキュリティ要求のある場合は注意が必要
参考: 対策としてCentOS6以上に載せ替えの場合
Version | OpenSSL | Apache | 注意点 |
---|---|---|---|
CentOS 5.X | 0.9.8e | 2.2.3 | OpenSSL0.9.8(TLS, SHA1)が2016/12/31終了、SNIが使えない、TLS1.1以上が使えない |
CentOS 6.X | 1.0.1e | 2.2.15 | |
CentOS 7.X | 1.0.1e | 2.4.6 | Apache2.4系から設定ががらっと変わる |
Author And Source
この問題について(2015年いっぱいでOpenSSL0.9.8のアップデートが無くなる?), 我々は、より多くの情報をここで見つけました https://qiita.com/hrix/items/50252eeea5e1fa3f1ec8著者帰属:元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .