【実務・中級編】古い暗号スイート(TLS 1.0/1.1)の脆弱性とダウングレード攻撃 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド

TLS 1.0/1.1の「ゾンビ」を葬る：なぜ今、暗号スイートの断捨離が必要なのか

エンジニアのみんな、お疲れ様。今日もシステムの死守、ご苦労さま。

最近のペネトレーションテストの現場で、「まだTLS 1.1が有効なままのサーバー」に出くわすと、正直なところ溜息が出る。まるで、玄関の鍵が壊れているのに「昔からこれでやってきたから大丈夫」と平気で言っているようなものだ。

君たちが必死に作ったアプリケーションが、たとえどれほど堅牢な認証ロジックを備えていようと、通信経路（トランスポート層）がガタガタであれば、攻撃者は中間者攻撃（MitM）で平然と情報を盗み出す。今日は、なぜTLS 1.0/1.1が「死に体」なのか、そしてどうやってモダンで堅牢な要塞を構築すべきか、現場の視点で叩き込んでおく。

—

なぜ「古いプロトコル」は脆弱なのか

TLS 1.0/1.1の根本的な問題は、設計思想がすでに現代の脅威レベルに対応できていないことだ。

CBCモードの欠陥: BEASTやPOODLEといった攻撃は、TLS 1.0のCBC（Cipher Block Chaining）モードにおける初期化ベクトルの予測可能性や、パディングの扱いの不備を突く。
HMACの弱さ: SHA-1のような、すでに衝突耐性が崩壊しているハッシュ関数を前提としていることが多く、暗号文の改ざん耐性が低い。
PFS（Perfect Forward Secrecy）の欠如: 古いスイートでは、サーバーの秘密鍵が一度でも漏洩すれば、過去にキャプチャしたすべての通信を復号できてしまう。これがPFS非対応の最大の恐怖だ。

攻撃者は、あなたのサーバーが古いプロトコルを許容していると分かれば、意図的に「通信品質が悪い」と見せかけてダウングレード攻撃を仕掛け、わざと古い暗号スイートを使わせてから脆弱性を突く。これはもう、ハッカー界隈では「古典的な挨拶」のようなものだ。

—

現場で即効性のある防御設定（Nginx編）

Webサーバーにおいて、TLS 1.2未満を排除し、PFSを強制するのはもはや必須の「衛生管理」だ。Nginxの設定ファイル（nginx.conf）を以下のように更新してほしい。

# SSLのプロトコルは最新の2つに絞る
ssl_protocols TLSv1.2 TLSv1.3;

# 脆弱な暗号スイートを排除し、PFS対応のスイートを優先する
# 特にTLS 1.2では、ECDHE（楕円曲線ディフィー・ヘルマン）を明示的に指定する
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';

# サーバー側で暗号スイートの優先順位を強制する
ssl_prefer_server_ciphers on;

# セッションチケットを有効にしつつ、PFSの恩恵を最大化する
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;

これだけで、POODLEやBEASTといった攻撃は、物理的に「通信手段がない」状態に追い込める。

—

アプリケーションレイヤーでの注意点（PHP/Python）

サーバー設定だけでなく、アプリケーション側から外部APIを叩く際も注意が必要だ。古いライブラリを使っていると、デフォルトでTLS 1.0が選択されることがある。

PHP (cURL) の場合

CURLOPT_SSLVERSION で強制的に指定しておくのが確実だ。

<?php
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://api.secure-service.com");
// TLS 1.2以上を強制する（PHP 5.5.19以降/7.0以降が必要）
curl_setopt($ch, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);
curl_exec($ch);
curl_close($ch);
?>

Python (requests) の場合

現代の requests ライブラリは信頼できるが、念のため環境を確認すること。

import requests
from requests.adapters import HTTPAdapter
from requests.packages.urllib3.poolmanager import PoolManager
import ssl

# 特定のセッションでTLSバージョンを強制するAdapterクラス
class TLSAdapter(HTTPAdapter):
    def init_poolmanager(self, connections, maxsize, block=False):
        # TLS 1.2以上のみを許可するようにcontextを設定
        ctx = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
        ctx.options |= ssl.OP_NO_TLSv1 | ssl.OP_NO_TLSv1_1
        self.poolmanager = PoolManager(num_pools=connections, maxsize=maxsize, ssl_context=ctx)

s = requests.Session()
s.mount('https://', TLSAdapter())
# これでこのセッションはTLS 1.2/1.3以外では通信しない

—

最後のアドバイス：盲点は「設定の放置」にある

ここまで読めば、やり方は分かったはずだ。だが、現場で一番怖いのは「一度設定して満足し、そのまま放置すること」だ。

暗号技術は日進月歩だ。今は安全な暗号スイートも、数年後には計算機の性能向上で解読される可能性がある。定期的に nmap や testssl.sh といったツールで、自分のサーバーが「今、どのプロトコルを喋っているのか」を定期監査する文化をチームに根付かせてほしい。

セキュリティは「完成させるもの」ではなく、「変化し続ける脅威に合わせて調整し続けるもの」だ。君たちのコードが、誰かに悪用されることなく、正当なユーザーを守る盾であり続けることを願っている。

さあ、今すぐサーバーのコンフィグを開いて、古い呪文を消し去ろう。