SSL暗号スイートチェッカー

サーバーがネゴシエーション可能な暗号を確認

TLS暗号スイートは接続で使う暗号方式の組み合わせを表しますが、鍵交換、認証、レコード保護の方式はスイートによって異なります。この検査は公開エンドポイントに複数の候補を提示し、サーバーが受け入れる項目を整理します。不要になった互換設定、弱いアルゴリズム、前方秘匿性を欠く構成を見つける手掛かりになります。通常のブラウザー接続では1つのスイートだけが選ばれるため、サーバー全体の候補一覧は分かりません。

TLS 1.3とそれ以前では、スイート名やネゴシエーション項目が異なります。名前にAESや256ビットが含まれているだけでは設定を評価できません。プロトコル、鍵交換、認証方式、暗号モード、証明書を合わせて確認してください。一般には現行のAEADスイートを優先し、古い選択肢を制限しますが、本番で変更する前にクライアント互換性も検証します。

暗号スイート一覧を検査する

1. ホストとTLSポートを入力

   公開ホスト名、IPアドレス、またはhost:portを指定します。確認したいリスナーを指す名前を入力してください。ポートを省略すると443を使います。別のTLSサービスでは、そのポートが直接TLSハンドシェイクを受け付けることを確認してください。

2. 暗号検査を開始

   このモードは多くの組み合わせを試すため、バージョン検査より時間がかかる場合があります。処理中はページを開いたままにし、同じ接続先に複数のタスクを同時送信しないでください。

3. 受け入れ項目を確認

   報告されたスイートをプロトコルと合わせて読みます。一覧はサーバーが交渉できる候補であり、ブラウザーで使われる順序とは限りません。個別の接続ではクライアント能力、OSのTLSライブラリー、サーバーの優先設定も選択に影響します。

4. 設定変更後に比較

   検証環境またはメンテナンス時間にTLS設定を変更し、再スキャンします。リバースプロキシ、CDN、オリジンサーバーを使う場合、TLS終端点ごとに設定が異なる可能性があるため、クライアントが接続する階層を確認してください。

暗号スイート結果についての質問

導入構成に沿って結果を判断

暗号スイート検査では複数のTLS接続を行うため、接続制限に触れる場合があります。所有または評価許可を得た公開サービスだけを検査してください。結果は選択されたIPと検査時に到達したTLS終端点を示します。CDN、プロキシ、ロードバランサー、オリジンで別々の方針が使われていることがあります。

OWASPのTLS設定指針は、現行標準の強いプロトコルとAEAD暗号を優先し、NULL、匿名、EXPORTなどの安全性に問題がある分類を避けるよう勧めています。改善候補を見つける参考として使い、組織や業界に適用される正式な基準の代わりにはしないでください。

暗号スイート名や重大度だけでサービス全体の安全性は決まりません。TLSバージョン、証明書の有効性、鍵の強度、脆弱性結果、クライアント互換性、実際の構成を合わせて確認し、管理者が変更を選んだうえで稼働状況を検証してください。