脆弱性 (CTX230612) の対応方法 対応方法設定手順 GUI での設定方法 realserver に対するクライアント証明書の認証解除 CipherSuite の DHE を無効化 CLI での設定方法 realserver に対するクライアント証明書の認証解除 CipherSuite の

Transcription

1 脆弱性 (CTX230612) の対応方法 対応方法設定手順 GUI での設定方法 realserver に対するクライアント証明書の認証解除 CipherSuite の DHE を無効化 CLI での設定方法 realserver に対するクライアント証明書の認証解除 CipherSuite の DHE を無効化 対応方法 NetSCaler と realserver 間の認証にクライアント証明書を利用している場合 以下のいずれか 2 点の対応を実施ください クライアント証明書の利用を中止する DHE の ChiperSuite を利用しない 設定手順 GUI での設定方法 realserver に対するクライアント証明書の認証解除 realserver 側に指定された web サーバの設定については 環境にあわせて別途変更が必要です Traffic Management - Load Balancing - Services の Load Balancing Service 設定画面で client 証明書の認証を利用している場合 certificate に Client 証明書が登録されています

2 上記の Client Certificate の箇所をクリックすると下図に遷移します クライアント証明書を選択し Unbind ボタンをクリックします

3 下記メッセージが表示されたら Yes を選択します Unbind されていることを確認し Close ボタンをクリックします

4 CipherSuite の DHE を無効化 Traffic Management - Load Balancing - Services の Load Balancing Service 設定画面で SSL Ciphers が default や明示的に DHE を利用している場合 DHE の CipherSuite を disable にします

5

6 SSL Ciphers の編集ボタンをクリックし 中央の Add ボタンをクリックします

7 左枠の Available から必要な CipherSuite を選択し 中央にある右向きボタンをクリックして追加します また右枠の Configured から 不要な CipherSuite の右側にある - をクリックし削除します 上記完了後 OK ボタンをクリックします ( 図では例として TLS1.2-ECDHE-RSA を選択している )

8 設定が正しく反映されていることを確認し 設定を保存します

9 DHE を含めた CipherGroup を作成して利用している場合は CipherGroup を編集します ( デフォルトの Cipher Group は編集できないため 新たにグループを作成する必要があります ) Traffic Management - SSL - Ciper Groups の画面で 利用している Cipher Group を選択し Edit ボタンをクリックします 中央の Add ボタンをクリックします

10 右枠の Configured から 不要な CipherSuite の右側にある - をクリックし削除します

11 上記完了後 OK ボタンをクリックします ( 図では例として TLS1.2-ECDHE-RSA を選択している )

12 CLI での設定方法 realserver に対するクライアント証明書の認証解除 クライアント証明書の認証を利用している場合 service の certkeyname が設定されています bind ssl service test1 -certkeyname client_cert1 以下のコマンドを実行し クライアント証明書を unbind します

13 > unbind ssl service test1 -certkeyname client_cert1 Done また クライアント証明書に関しましては realserver におきましても NetScaler との接続の際に クライアント証明書を要求しないように設定ください CipherSuite の DHE を無効化 VirtualServer の SSL 設定で CipherSuite を確認します DEFAULT bind ssl service test1 -ciphername DEFAULT CipherSuite bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES-256-SHA384 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES-128-SHA256 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES256-GCM-SHA384 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES128-GCM-SHA256 bind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES-256-SHA256 bind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES-128-SHA256 bind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES256-GCM-SHA384 bind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES128-GCM-SHA256 DEFAULT を利用していた場合 以下のコマンドを実行し DEFAULT の削除 必要な CipherSuite の設定を行います unbind ssl service test1 -ciphername DEFAULT bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES-256-SHA384 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES-128-SHA256 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES256-GCM-SHA384 bind ssl service test1 -ciphername TLS1.2-ECDHE-RSA-AES128-GCM-SHA256 個別に指定していた場合 以下のコマンドを実行し不要な CipherSuite を外します unbind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES-256-SHA256 unbind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES-128-SHA256 unbind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES256-GCM-SHA384 unbind ssl service test1 -ciphername TLS1.2-DHE-RSA-AES128-GCM-SHA256 DHE を含めた CipherGroup を作成して利用している場合

14 bind ssl cipher test_csgroup -ciphername TLS1.2-ECDHE-RSA-AES-256-SHA384 -cipherpriority 1 bind ssl cipher test_csgroup -ciphername TLS1.2-ECDHE-RSA-AES-128-SHA256 -cipherpriority 2 bind ssl cipher test_csgroup -ciphername TLS1.2-ECDHE-RSA-AES256-GCM-SHA384 -cipherpriority 3 bind ssl cipher test_csgroup -ciphername TLS1.2-ECDHE-RSA-AES128-GCM-SHA256 -cipherpriority 4 bind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES-256-SHA256 -cipherpriority 5 bind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES-128-SHA256 -cipherpriority 6 bind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES256-GCM-SHA384 -cipherpriority 7 bind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES128-GCM-SHA256 -cipherpriority 8 以下のコマンドを実行し不要な CipherSuite を外します unbind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES-256-SHA256 unbind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES-128-SHA256 unbind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES256-GCM-SHA384 unbind ssl cipher test_csgroup -ciphername TLS1.2-DHE-RSA-AES128-GCM-SHA256