Object Storage Service:セキュアな通信を確保するための TLS バージョンの設定

現在の TLS バージョンの確認

クライアントが TLS バージョンを指定していない場合、次のコマンドを実行して、クライアントとサーバー間でネゴシエートされたバージョンを特定します。

openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint>

コマンドのパラメーターは次のとおりです。

コマンドの出力で TLS バージョンを確認できます。

応答の Protocol フィールドの値が、現在の TLS バージョンです。応答の例は次のとおりです。

New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES128-GCxxx
    Session-ID: DF6AF8834A5BE3E9EDCxxx
    Session-ID-ctx:
    Master-Key: 0C25A19D6E9E3BDEC86B417125AEC1FFA85xxx
    Key-Arg   : None
    Krb5 Principal: None
    PSK identity: None
    PSK identity hint: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:

TLS 設定の検証

バケットが TLS 1.2 のみを許可するように正しく設定されていることを確認するには、次の動作を確認します。

• クライアントが明示的に TLS 1.2 を使用する場合、クライアントはサーバーにアクセスできます。

  openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint> -tls1_2

  コマンドのパラメーターは次のとおりです。

  パラメーター	説明
  bucket	ご利用の OSS バケットの名前。
  endpoint	パブリックエンドポイント、内部エンドポイント、またはカスタムドメイン名。

  応答の例：

  SSL handshake has read 5779 bytes and written 470 bytes
  ---
  New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
  Server public key is 2048 bit
  Secure Renegotiation IS supported
  Compression: NONE
  Expansion: NONE
  No ALPN negotiated
  SSL-Session:
      Protocol  : TLSv1.2
      Cipher    : ECDHE-RSA-AES128-Gxxx
      Session-ID: 6F487389CA287BAFD2xxx
      Session-ID-ctx:
      Master-Key: 620777CB36570132F9xxx
      Key-Arg   : None
      Krb5 Principal: None
      PSK identity: None
      PSK identity hint: None
      TLS session ticket lifetime hint: 300 (seconds)

• クライアントが TLS バージョンを指定しない場合 (ただし、クライアントは TLS 1.2 をサポートしている)、クライアントはサーバーにアクセスできます。

  openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint>

  応答の例：

  SSL handshake has read 5779 bytes and written 470 bytes
  ---
  New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES128-GCM-SHA256
  Server public key is 2048 bit
  Secure Renegotiation IS supported
  Compression: NONE
  Expansion: NONE
  No ALPN negotiated
  SSL-Session:
      Protocol  : TLSv1.2
      Cipher    : ECDHE-RSA-AES128-Gxxx
      Session-ID: 6F487389CA287BAFD2xxx
      Session-ID-ctx:
      Master-Key: 620777CB36570132F9xxx
      Key-Arg   : None
      Krb5 Principal: None
      PSK identity: None
      PSK identity hint: None
      TLS session ticket lifetime hint: 300 (seconds)

• サーバーは、TLS 1.2 以外の TLS バージョン (たとえば、TLS 1.1) を指定するクライアントからの接続を拒否します。

  openssl s_client -connect <bucket>.<endpoint>:443 -servername <bucket>.<endpoint> -tls1_1

  応答の例：

  [root@i-xxx xxx ~]# openssl s_client -connect xxx.oss-cn-hangzhou.aliyuncs.com:443 -servername xxx.oss-cn-hangzhou.aliyuncs.com -tls1_1
  CONNECTED(00000003)
  140293333579664:error:1409442E:SSL routines:ssl3_read_bytes:tlsv1 alert protocol version:s3_pkt.c:1493:SSL alert number 70
  140293333579664:error:1409E0E5:SSL routines:ssl3_write_bytes:ssl handshake failure:s3_pkt.c:659:
  ---
  no peer certificate available
  ---
  No client certificate CA names sent
  ---
  SSL handshake has read 7 bytes and written 0 bytes
  ---
  New, (NONE), Cipher is (NONE)
  Secure Renegotiation IS NOT supported
  Compression: NONE
  Expansion: NONE
  No ALPN negotiated
  SSL-Session:
      Protocol  : TLSv1.1
      Cipher    : 0000
      Session-ID:
      Session-ID-ctx:
      Master-Key:
      Key-Arg   : None
      Krb5 Principal: None
      PSK identity: None
      PSK identity hint: None
      Start Time: 1692262610
      Timeout   : 7200 (sec)
      Verify return code: 0 (ok)
  ---