Windows Serverで暗号スイートを更新してTLSを強化する方法

クイックリンク

• 暗号スイートが重要な理由
• 現状を確認する方法
• 暗号スイートの更新手順

あなたは信頼されるウェブサイトを運営していますね。そうであることをもう一度確認する価値はあります。もしサイトが Microsoft の Internet Information Services（IIS）で稼働しているなら、接続時にユーザーに安全なオプションを提供していない可能性があります。

暗号スイートを改善するのは費用がかからず、設定も比較的簡単です。本ガイドに従えば、ユーザーとサーバーをより良く保護できます。最後に、あなたが利用しているサービスが本当に安全かをテストする方法も学べます。

暗号スイートが重要な理由

安全な接続はこう動作します。ブラウザーがサイトへ安全接続を開始します（URLが「https://」で始まる）。ブラウザーとサーバーは最初に互いに使える暗号の候補リストを交換します。サーバーが提供する候補の中からブラウザーが選び、その暗号で通信を開始します。

問題は、すべての暗号候補が同じ強度ではない点です。優れた暗号（例: ECDH）もあれば、安全性の低いもの（例: RSAの一部構成や古いモード）、さらには推奨されないもの（例: DES）も存在します。サーバーが弱い暗号も提供していると、ブラウザーが互換性の都合でその暗号を選ぶかもしれません。結果としてサイト、サーバー、ユーザーは脆弱になります。

残念なことに、IISの既定設定はセキュリティ面で最適とは言えません。致命的ではないにせよ、改善の余地があります。

現状を確認する方法

まず自分のサイトがどう見えるかを確認しましょう。Qualys が提供する無料の SSL Labs のサーバーテスト（https://www.ssllabs.com/ssltest/）が便利です。ドメインを入力すると、サーバーがどのように HTTPS に応答しているかの詳細レポートが得られます。

注意点: SSL Labs のスコアは診断に有用ですが、すべてを決めるわけではありません。たとえば RC4 は弱いと評価されますが、既知の実用的な攻撃が無い（あるいは限定的）ケースもあります。互換性のために RC4 を残す選択をする組織もあります。SSL Labs の評価は参考指標として扱い、互換性要件とセキュリティリスクの両方を考慮して判断してください。

暗号スイートの更新手順

以下はグラフィカルな手順です。サーバーの管理者権限が必要です。

1. Windowsキー + R を押して「ファイル名を指定して実行」を開く。入力欄に gpedit.msc と入力して OK をクリックし、グループポリシーエディターを起動します。

   

2. 左ペインで次を展開します: コンピューターの構成 → 管理用テンプレート → ネットワーク → SSL 構成の設定。

3. 右ペインで “SSL Cipher Suite Order” をダブルクリックします。

   

4. 既定では「未構成」になっています。「有効」を選んで暗号スイートの編集を可能にします。

5. 「SSL Cipher Suites」フィールドに現在の文字列が表示されます。内容をすべてコピーしてメモ帳に貼り付けると読みやすく整形できます。候補はカンマで区切られた長い1行の文字列です。各暗号を改行で分けると見やすくなります。

6. 編集時の注意点: リストの最大長は 1,023 文字です。暗号スイート名は非常に長いため、取捨選択が必要です。信頼できる推奨リストの一例として GRC の Steve Gibson 氏が公開している一覧があります: https://www.grc.com/miscfiles/SChannel_Cipher_Suites.txt

7. 適切に並べ替え・削除したら、再びカンマ区切りの1行に戻してフィールドに貼り付け、OK を押します。変更を適用するにはサーバーの再起動が必要です。

8. 再起動後、SSL Labs に再検査をかけて結果を確認します。うまくいけば A 評価が得られるはずです。

重要: グループポリシーでの変更はドメイン環境のポリシーに依存します。ドメインポリシーが上書きする場合は、ドメインコントローラーや運用ポリシー担当と調整してください。

代替アプローチと運用上の選択肢

• IIS Crypto（Nartac）を利用する: GUI で暗号、プロトコル、ハッシュを有効・無効化できます。安全なプリセットが用意されており手戻りが少ないため、運用負荷を下げられます（https://www.nartac.com/Products/IISCrypto/Default.aspx）。

• レジストリ編集: グループポリシーと同等の設定はレジストリに存在します。直接編集する場合は必ずバックアップを取り、運用手順に従ってください。誤編集はサービス停止につながります。

• 自動化（PowerShell/構成管理）: 大規模環境では手動変更は避け、PowerShell スクリプトや構成管理ツールで標準化・配布するほうが安全です。

どの方法でも、まずテスト環境で検証し、主要なクライアント（古いブラウザーや組み込み機器）での互換性を確認することが必須です。

いつ更新が逆効果になるか（反例）

• 極めて古いクライアントのみを対象にした閉域網では、強すぎる暗号にすると互換性が損なわれることがあります。
• レガシー機器（古いPOS端末や産業機器）が特定の暗号にしか対応していない場合、暗号を無効化するとサービスが使えなくなります。

これらのケースでは、ミドルウェアで TLS ターミネーションを行い、内部は既存プロトコルのままにするなどの代替アプローチを検討してください。

運用チェックリスト（SOP）

1. 影響範囲の把握: 対象ドメイン、利用中のクライアント、依存システムをリストアップする。
2. テスト環境の準備: 本番と同等の設定を持つテスト環境を用意する。
3. 推奨リストの作成: 企業ポリシーに沿って暗号リストを作成する（GRC などを参考に）。
4. 変更の適用方法決定: グループポリシー、IIS Crypto、レジストリ、構成管理のいずれを使うか決める。
5. 適用・再起動: 変更を投入し、サーバーを再起動する。
6. 検証: SSL Labs、社内テストツール、主要クライアントでの接続確認。
7. ロールバック計画: 非互換が判明した場合に備え、元の設定を即時復元できる手順を用意する。
8. ドキュメント化: 変更内容、理由、テスト結果、ロールバック手順を記録する。

役割別チェックリスト

• システム管理者: ポリシー適用、再起動、ログ収集
• セキュリティ担当: 推奨ラインアップ作成、リスク評価、監査対応
• QA/アプリケーション担当: 主要クライアントで接続確認、互換性テスト

テストケースと受け入れ基準

• SSL Labs で A レーティングを取得できること
• TLS 1.2 以上が有効で、TLS 1.0/1.1 は必要に応じて無効化されていること
• 明示的に無効化した弱い暗号（DES/3DES/RC4）がサーバーから提供されていないこと
• 主要クライアント（組織内で利用するブラウザーや機器）で問題なく接続できること

セキュリティ強化のヒント

• サーバー優先の暗号順序を採用する: サーバーが推奨する強い暗号を優先させることで、クライアント側の古い選択に依存しすぎるリスクを下げられます。
• プロトコルと暗号の両方を管理する: TLS バージョンと暗号スイートは両輪です。強い暗号を使っていても古い TLS バージョンを許可していれば脆弱です。
• 定期レビュー: 新しい脆弱性が発見されるため、暗号スイートの見直しは定期的に行ってください。

リスク評価と緩和策

1行用語集

• TLS: 通信の暗号化プロトコル。HTTPSの基盤技術。
• 暗号スイート: 暗号化アルゴリズムの組み合わせ（鍵交換、暗号、ハッシュなど）。
• ECDH: 楕円曲線ディフィー・ヘルマン。高速で安全性が高い鍵交換方式。
• RSA: 公開鍵暗号方式。互換性は高いが条件次第で弱点が出る場合がある。
• SSL Labs: サーバーの TLS/SSL 設定を診断するオンラインサービス。

互換性と移行のヒント

• 大規模環境では段階的にポリシーを適用し、影響を小さくしてください。
• 互換性のために古い暗号を一時的に残す場合は、限定的なアクセスのみ許可するなど追加の制限を設けてください。

まとめ

暗号スイートの見直しは、比較的低コストで大きなセキュリティ向上を得られる施策です。グループポリシーかツール（IIS Crypto）を使って不要な暗号を無効化し、再起動後に SSL Labs などで検証してください。事前の影響範囲把握とロールバック計画を用意すれば、安全に移行できます。

重要

• 変更前に必ずバックアップとテストを行ってください。

注意

• 企業ポリシーやドメイン GPO によっては、個別サーバーの設定が上書きされることがあります。