SSL sha-1廃止に伴うsha-2への移行 Shanonの取り組み

このエントリーをはてなブックマークに追加

恐怖のSha-1廃止


すでに2016年も終わるころなので、この話題はすでにHOTではありませんが、シャノンのSha-1からSha-2への切り替えオペレーションを振り返りたいと思います。

今更ですが!
※この記事は2016年12月24日に書いたことになっています。

Sha-1が廃止されるとなにが起こるか(起こったか)

もはやセキュアではないと多くのエンジニアが考えているSha-1。これが廃止されるとあなたのサイトに接続できなくなります。廃止以前であっても、警告文などが出て、それを見たユーザは、自分の大切な情報を入力するのを躊躇う筈です。



Sha-2に切り替えたとしても古いガラケーやスマフォからの接続ができなくなります。あなたのサイトが正常に表示されるかどうかのテストも必要かもしれません。


※出典:グローバルサイン https://jp.globalsign.com/sha256/ssl/supported.html


悪いことばかりでもない


とはいえSIerはもちろん、我々自社サービスを提供する会社においても、古すぎるエンドユーザ環境にどこまで付き合えば良いのかはとても難しい問題です。筆者もSier時代にIE6の対応をユーザに求められて苦しんだ記憶が鮮明に残っています。古いほうに合わせてより無難な、しょぼく、重くなった生産物を見てきました。
そういった不幸を解決したともいえるかもしれません。問答無用で接続できなくなる措置を発表して実行するなんて流石です。さすが宗主国アメリカ様です。これで古すぎるバージョンのブラウザに対応しなくてはいけなかった多くの開発者が救われました。ユーザのいうことは神託と同義であると思っている顧客もアメリカ様のいうことには頭が上がりません。極東の島国には到底不可能なことを 平然とやってのける のです。

※個人の感想です。

シャノンでの対応

弊社では当時150ほどのSSLを管理していました。
最初に影響があったのは2015年春にリリースしたChromeのver.41で、有効期限が2016年1月1日以降のSha-1SSL証明書についてはブラウザ上に注意表示がされるようになる予定でした。




切り替えステップ1 既存サイトのテストと顧客周知期間の確保 SSL期限の調整

テスト期間と顧客周知は全体で2015年中を設定しました。
図のSSL-Aの場合は顧客周知期間が3クオーターあって余裕があるのですが、SSL-Dのパターンだと、1クオーターしかありません。このパターンの洗い出しをして、テストと周知を急ぐ必要がありました。
パターンBのように2015年1月中に切れるものは、テスト期間と周知期間が足りないため、GMOの無料延長30日間を削って、SSL-Cのように期限日を2015年12月31日に設定して来るXデーに引っかからないように調整しました。
こうした取り組みにより、一番短いものでも2か月半のテスト・周知期間を確保することができました。
検証環境についてですが、我々サービスはユーザ毎の本番環境に無料で1つ共通ドメインの検証環境を作成できるので、こちらをSHA-2にして、事前に顧客に確認してもらうことが可能でした。

切り替えステップ2 更新タイミングでsha-2への切り替え

テスト期間の短いものを重点監視し、終わったことを確認して期限の来たSSLを順次Sha-2に更新していきます。事前に計画を立てて実行するだけなので、この段階ではだいぶ気が楽です。期限に余裕があるものなのにぎりぎりまで確認が行われていないものは周知済みであるにもかかわらず顧客とのインターフェースを全うしていない該当担当者の責任です。担当者の責任です。 担当者の責任です。

切り替えステップ3 例外SSLを期限直前にsha-2へ再発行して手動で切り替え

ステップ2で漏れたもの、例えば2年以上の期限を持つSSLを再発行(GMOでは無料で人を介さず再発行ができました)して置き換えました。
上記以外でも顧客側で取得したSSLがありましたが、こちらについてはSha-2への切り替えを推奨する案内を出しました。シャノン管理外なので、強制できないのでこれに関しては一部警告が表示されるサイトも出たりしましたが、概ね影響なく移行できたと思います。

さいごに

こういったことは、今後も発生することが予想されます。Sha-2はもはやセキュアではない! とか。。 (当分ないか)
一度うまくいったオペレーションは使いまわしがきく可能性があるので、しっかりドキュメントに残しておくとよいですね!

次の記事
« Prev Post
前の記事
Next Post »
Related Posts Plugin for WordPress, Blogger...