Ｗｅｂサーバーの設定についてまとめているついでに知らないことをネットで調べていたら、偶然、Ｗｅｂサイトのセキュリティをチェックするサイトがあるのを知りました。SSLに関しては、ブラウザ側も毎年のようにアップデートされているくらい、その機能の割りに脆弱性が指摘されている仕組みですが、サーバー側も注意が必要です。
さっそく私が管理を任されているサーバーをチェックしたところ、判定は「Ｃ」でした。
かなり問題があります。さっそくネットで対策を調べて、対応しています。
https://www.ssllabs.com/ssltest/ SSL Server Test (Powered by Qualys SSL Labs)
ちなみに管理を仙台のＩＴ企業に任せている公式サイトも、レベルは同じくらいですが、内容を確認すると比較的いい設定のようです。さすがにセキュリティに関してはチェックしているのでしょう。
どうも今年の５月に OpenSSL に関して複数の脆弱性が公開され、アップデートが行われました。私が管理するＷｅｂサーバーでも、この対応はやったように思うのですが。しかし、OpenSSL のバージョンが古いことにより、ランクが低く判定されています。これは、基になるＯＳが古いことで、標準の openssl が、最新の暗号化技術に対応していないためで、普通だったら対策できません。こうなるとＯＳを新しくした方がいいと思うのですがね。
今使っているＷｅｂサーバーは、外部のレンタルサーバーを利用しているのですが、今年で今使っているＯＳのサポートは終了だそうです。それはいい判断でしょう。