こんにちは！インフラや開発の現場に飛び込んだばかりの新人IT担当者の皆さん、そしてセキュリティの扉を叩いたばかりの皆さん、日々の業務お疲れ様です。
「暗号化」「TLS」「暗号スイート」……。専門用語がずらりと並ぶと、なんだかすごく難しく感じてしまいますよね。「どこから手をつけたらいいんだろう？」と不安になることもあるかもしれません。
でも、安心してください！セキュリティの基本は、私たちが普段暮らしている「現実世界の防犯」と全く同じです。今回は、暗号スイートの優先順位設定と、古い脆弱な暗号をバッサリ無効化する方法について、身近な例えを交えながら一歩ずつ丁寧に紐解いていきましょう。
—
1. 家の鍵で例える「暗号化」と「古い鍵が危ない理由」
まずは、インターネット通信のセキュリティを「家と手紙のやり取り」に例えて考えてみましょう。
あなたが遠く離れた友達に、秘密の手紙を送るとします。そのままポストに投函したら、途中で配達員や通りすがりの人に中身を読まれてしまいますよね。だから、頑丈な鍵のかかるアタッシュケース（暗号化）に入れて送るわけです。
このアタッシュケースを開け閉めする仕組みが「暗号スイート」です。
泥棒は「一番古い鍵」を狙う
さて、このアタッシュケースの鍵ですが、実は昔のタイプ（RC4や3DESといった古い暗号）は、技術の進歩とともに「ヘアピンで簡単にピッキングできる鍵」になってしまいました。
攻撃者（泥棒）は、わざわざ最新の頑丈な鍵を力づくで破ろうとはしません。サーバーの入口にやってきて、こう言います。
> 「ねえ、僕たち、昔懐かしい『RC4』っていう古い鍵で通信しようよ！」
サーバー側が「いいよ、古いけど対応してるからその鍵使おうか」と答えてしまうと、攻撃者は一瞬で鍵をピッキングして、通信の中身（パスワードや個人情報）を丸見えにしてしまいます。これが、古い暗号を放置する最大の危険性です。
だからこそ私たち管理者は、「最新の頑丈な鍵だけを使い、古いボロボロの鍵は捨て去る（無効化する）」設定をしなければならないのです。
—
2. 現場でやるべきこと：弱い暗号の無効化と優先順位の調整
実際のWebサーバー（今回は世界中でよく使われているNginxを例にします）で、この「鍵の整理整頓」をどのように行うのか見ていきましょう。
サーバーの設定ファイルを書き換えるときは、いつもドキドキしますよね。「動かなくなったらどうしよう」と不安になるのは当然です。でも、ポイントさえ押さえれば怖くありません。
以下の設定ファイルを一緒に見てみましょう。
# /etc/nginx/conf.d/ssl_security.conf
# 古い、安全ではないTLSのバージョン（TLS 1.0, TLS 1.1）を完全に禁止し、
# 安全なTLS 1.2と最新のTLS 1.3のみを許可します。
ssl_protocols TLSv1.2 TLSv1.3;
# サーバー側が「一番強くて安全な鍵を優先して使う」ように設定します。
# これにより、古い鍵をダウングレードさせようとする攻撃を防ぎます。
ssl_prefer_server_ciphers on;
# 許可する暗号スイートのリスト（ホワイトリスト方式）です。
# ここには「ピッキングされにくい、現代の強固な鍵」だけを指定します。
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';設定のポイントを優しく解説
1. ssl_protocols TLSv1.2 TLSv1.3;
- 昔の通信規格である
TLS 1.0やTLS 1.1は、すでにセキュリティ上の欠陥が見つかっています。玄関の鍵で言えば「簡単に破られる昭和の鍵」です。これらをスパッと無効化し、現代の基準であるTLS 1.2とTLS 1.3だけに絞ります。
2. ssl_prefer_server_ciphers on;
- 通信を始めるときに、「どの鍵を使うか」をクライアント（ブラウザ）任せるのではなく、「サーバー（私たち）が決めた一番強い鍵を強制する」という設定です。
3. ssl_ciphers ...
- ここが暗号スイートの指定です。
RC4、3DES、あるいは暗号化をしないNULLやEXPORTといった危険な言葉は一切排除し、AES（共通鍵暗号）とECDHE（楕円曲線暗号を使った安全な鍵交換）の組み合わせだけを許可しています。
—
3. 設定変更後の大切なステップ：テストを忘れないで！
設定ファイルを書き換えたら、いきなり本番サーバーを再起動するのではなく、必ず構文チェックを行いましょう。
# Nginxの設定ファイルに文法ミスがないかテストするコマンド
sudo nginx -tもし syntax is ok と表示されたら、無事にテストクリアです！その後、サーバーを優しく再起動（sudo systemctl reload nginx）して設定を反映させます。
さらに、世の中には構築したサーバーのセキュリティ診断を無料でやってくれる素晴らしいツール（例：Qualys SSL LabsのSSL Server Testなど）があります。自分の設定が「A+」や「A」といった最高評価をもらえると、パズルが解けたような達成感があってすごく楽しいですよ。
—
まとめ
今回は、暗号スイートの優先順位設定と、古い暗号を無効化する理由についてお話ししました。
- 古い暗号（RC4や3DESなど）は、ピッキングされやすい「古い鍵」のようなもの。
- サーバー設定で古いTLSや弱い暗号スイートはキッパリと無効化する。
- サーバー側で強い暗号を優先する設定（
ssl_prefer_server_ciphers on）を有効にする。
セキュリティの対策は、一度にすべてを完璧に理解しようとしなくて大丈夫です。「昨日の自分より、少しだけ安全なサーバーにできたな」と思えたら、それはもう立派なセキュリティエンジニアの第一歩です。
一歩ずつ、確実に知識を積み重ねていきましょう！応援しています！
コメント