TLSとは

詳細な図解

TLSを読むときの前提

TLS（Transport Layer Security）は、通信相手を証明書で確認し、通信内容を暗号化する仕組みです。HTTPSだけでなく、メール、API、VPN、管理画面、サービス間通信でも使われます。

実務では、TLSバージョン、暗号スイート、証明書、SAN、SNI、中間証明書、失効確認、ロードバランサーやCDNの終端点差分を確認します。

証跡には、接続先FQDN、IP、SNI、TLSバージョン、暗号スイート、証明書チェーン、検証結果、確認コマンド、確認日時を残します。

プロトコルと証明書を分けて見る

TLS障害は、暗号化方式の問題と証明書検証の問題が混ざって見えます。期限切れ、SAN不一致、中間証明書不足は証明書側の問題で、TLS 1.0無効化や暗号スイート不一致はプロトコル側の問題です。

ブラウザ警告だけでは原因を決められません。openssl、curl、ブラウザ開発者ツール、LB/CDNログを使い、どこでhandshakeが止まるかを切り分けます。

• TLSバージョンと暗号スイートを確認する。
• 証明書チェーンとSANを確認する。
• 失敗メッセージを原文で残す。

SNIと終端点差分を確認する

同じFQDNでも、CDN、WAF、ロードバランサー、オリジンでTLSを終端する場所が複数あることがあります。片系だけ古い設定や証明書を返すと、一部利用者だけ失敗します。

SNIを付けずに確認すると既定証明書が返る場合があります。実利用FQDNをSNIとして指定し、複数IP、複数リージョン、IPv4/IPv6で結果を比較します。

• SNI付きで確認する。
• CDN/LB/オリジンを分けて確認する。
• IPv4とIPv6の差分を見る。

互換性とセキュリティを両立する

TLS設定を強くすると、古いOS、古いブラウザ、組み込み機器、Java実行環境が接続できなくなることがあります。一方で古いTLSや弱い暗号を残すと、監査や脆弱性指摘の対象になります。

変更前には利用者環境、アクセスログ、UA、業務端末、外部連携先を確認します。段階的に無効化し、戻し条件と周知を用意します。

• 古いクライアントの利用有無を確認する。
• 弱いTLS設定の残存を棚卸しする。
• 変更時の戻し条件を決める。

変更証跡と引き継ぎ

TLS対応では、対象FQDN、終端点、TLSポリシー、証明書、SNI、互換性影響、確認コマンドを残します。アプリ担当、ネットワーク担当、セキュリティ担当で見ている層が違うためです。

引き継ぎでは、関連語としてHTTPS、証明書、SAN、SNI、HSTSを残すと、Web表示不具合から暗号設定まで追いやすくなります。

• TLSポリシーと証明書を同時に記録する。
• 終端点ごとの確認結果を残す。
• 互換性影響を変更管理へ紐付ける。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能