背景

• PCI DSS 3.2では、SSLとTLS1.1は2018年6月28日までに無くさなければいけないと明示している。
  • https://blog.pcisecuritystandards.org/are-you-ready-for-30-june-2018-sayin-goodbye-to-ssl-early-tls
• Visaは2018年2月にTLS1.1以下を無効にする主旨を発表し、各プログラミング言語に応じた移行方法を出している。
  • https://community.developer.visa.com/t5/Developer-Tools/Reducing-Risk-TLS-1-2-Mandatory-Upgrade-Details/ba-p/6691?elqTrackId=807630e0dc9c4221ae723c312a8a2278&elq=b5307826a50a4d92bb1741bf56ae0558&elqaid=749&elqat=1&elqCampaignId=293

最近の流れ

• 新規でhttpsサーバを構築するならば、TLS1.2のみを有効にしておく
• TLS1.3は現在Working Draft
• TLS1.2と1.3の違い

設定

このサイトで、TLS 1.3を使えるように設定してみました。

• nginx 1.12を使っていましたが、nginxはバージョン1.13からTLS 1.3 draftに対応しているので、nginxを1.13にアップグレードしました。
• ssl関連の設定を抜粋するとこんな感じです。TLS 1.3のcipherが優先されます。

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'TLS13-AES-128-GCM-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-CHACHA20-POLY1305-SHA256:ECDHE:!COMPLEMENTOFDEFAULT';

• ssllabsでテストをしてみましたが、TLS 1.3はドラフトなのでちゃんと認識されない模様です。FirefoxでTLS1.3のみを有効にして実験した接続できました。
  • https://www.ssllabs.com/ssltest/analyze.html?d=teraren.com

• 各種ブラウザの対応バージョン
  • https://ja.wikipedia.org/wiki/Template:%E3%82%A6%E3%82%A7%E3%83%96%E3%83%96%E3%83%A9%E3%82%A6%E3%82%B6%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8BTLS/SSL%E3%81%AE%E5%AF%BE%E5%BF%9C%E7%8A%B6%E6%B3%81%E3%81%AE%E5%A4%89%E5%8C%96

軽くabでテスト。

% ab -n 5 -n 100  https://triathlon.teraren.com/                                                                                                                                                                                                                                                                                                             305ms  Wed Nov  8 18:37:41 2017
This is ApacheBench, Version 2.3 <$Revision: 1757674

TLS1.3が出てない。クライアント側のopensslが古いからかな。。

% openssl version                                                                                                                                                                                                                                                                                                                                                    Wed Nov  8 18:40:27 2017
OpenSSL 0.9.8zh 14 Jan 2016

まとめ

• nginxをアップグレード。 1.12 -> 1.13
• TLS 1.0, TLS 1.1を無効化。TLS 1.2とTLS 1.3 draftを有効化