SSL Heartbleed脆弱性チェック

Heartbleed専用検査で確認すること

Heartbleedは、OpenSSLのTLS/DTLS Heartbeat拡張の処理に関係する情報漏えい脆弱性で、識別番号はCVE-2014-0160です。Heartbeatは接続を保つための仕組みですが、Heartbleedはその規格自体ではなく、特定の実装で境界確認が欠けていた問題です。このページは入力したホスト名またはIPアドレスとポートに対し、この脆弱性項目を検査します。証明書の期限、暗号方式、ほかのCVEをまとめて調べる一般的なTLS診断ではありません。

レポートの状態と項目を読む

結果には対象ホスト、接続先IP、ポート、検査プログラムの報告バージョン、所要時間のほか、深刻度、検出内容、CVE/CWE番号が表示される場合があります。検査プログラムのバージョンは、対象サーバーに導入されたOpenSSLのバージョンを示すものではありません。findingの文章や番号は検査結果として返された原文が表示されることがあります。

検査するホストとポートをそろえる

入力欄にはホスト名またはIPアドレスを入れ、ポート欄には確認したいTLSサービスのポートを指定します。初期値は443で、ポート番号は1～65535の範囲で入力します。パスやクエリを含むページURLではなく、接続先のホストを指定してください。日本向けの脆弱性データベースを検索する機能ではなく、地域別の対象件数も返しません。日本国内・国外を問わず、結果は入力対象への接続状況と、そのとき到達したTLS終端に左右されます。

一次資料で確認できる仕様

許可された接続先を確認する手順

1. 対象と許可範囲を確認

   自分が管理する、または明示的な許可を得たホストだけを選びます。CDN、ロードバランサー、リバースプロキシなどがある場合は、どの機器がTLSを終端しているかを先に確認してください。

2. ホスト名とポートを入力

   例としてホスト欄に service.example、ポート欄に443を入力します。別ポートでTLSを提供している場合は、その実際の待受ポートを指定します。

3. 検査を実行して表示を読む

   診断を開始し、対象ホスト、解決されたIP、ポート、状態、findingを確認します。タイムアウトや項目の未返却は合格ではありません。

4. 結果を資産情報と照合

   WARNなどの報告があれば、TLS終端機器の製品・バージョンとベンダーの対策情報を確認します。変更後の確認記録に使う場合も、機器の資産台帳やパッチ情報と併せて保管してください。

入力と結果に関する質問

実行許可と判定の限界

検査は、自分が所有・管理する対象、または明示的に許可された対象に限ってください。入力先へのネットワーク接続を伴うため、組織の手順や契約上の許可範囲も事前に確認します。

• OKは、その時点で到達した接続先について、このHeartbleed項目で報告がなかったという意味です。サイト全体の安全性、別のTLS機器、ほかの脆弱性、過去の情報漏えいを証明しません。
• DNS、SNI、CDNや負荷分散などの構成によって、検査時に到達するIPやTLS終端が変わり、結果が異なることがあります。検査結果だけで資産のソフトウェアや適用済みパッチを確定しないでください。
• 項目の未返却、タイムアウト、切り詰められた報告は合格扱いにできません。結果が不明な場合は、対象機器の管理情報とベンダーのセキュリティ情報を併せて確認してください。