メニューSSL証明書 - メニュー
【SSL証明書】よくある質問(FAQ)

Heartbleed(OpenSSL脆弱性)への対応

ページ更新日:2023/05/04

Heartbleed(サーバー秘密鍵を含むメモリデータが漏洩する可能性のあるOpenSSL脆弱性)への対応手順は下記のとおりです。
2014年に発覚したOpenSSL脆弱性に起因する問題です。
適切にメンテナンスされているWebサーバーをお使いであれば、現在はあまり影響ありません。

1. OpenSSLのバージョンアップ

OpenSSLのバージョンが Heartbleed脆弱性を含む下記に該当している場合には、まず最初にサーバーの OpenSSLをバージョンアップします。
OpenSSLのバージョンが該当していない場合や、IISなどOpenSSLを利用していない環境においては、以下の Heartbleed対策は不要です。

・OpenSSL 1.0.1 ~ 1.0.1f
・OpenSSL 1.0.2-beta ~ 1.0.2-beta1

2. 秘密鍵を変更してからSSL証明書再発行

既存のSSL証明書とは異なるキーペアを作成して、その鍵を元にCSRを作成し、SSL証明書を再発行します。
再発行の手順は 再発行(reissue)のお手続きについて をご確認ください。
SSL証明書が再発行されたら、そのSSL証明書をサーバーへインストールします。

※この対応によって、今までとは異なる秘密鍵でSSL通信されるようになるので、仮に過去の秘密鍵が漏洩していたとしても、それ以降のSSL通信は安全になります。

3. 古いSSL証明書を失効(revoke)する

失効(revoke)のお手続きについて に記載の手順にそって古いSSL証明書を失効します。
失効手続きが完了すると、古いSSL証明書のシリアルナンバーが失効リスト(CRL)に記載されますので、
失効リスト(CRL)を参照しているブラウザが旧SSL証明書を無効とみなすことができます。

※漏洩した秘密鍵をもとに「なりすまし環境」が作成され、DNS詐称と組み合わせた攻撃が行われたとしても、失効リスト(CRL)によってそのSSLは無効とみなされます。

↑ 上へ 注文 検索