高木浩光＠自宅の日記

■ SSL 2.0をオンにしろと指示するサイト

FirefoxがSSL 2.0を廃止する予定 という話が出ている。SSL 2.0では、プロトコルの冒頭部分で使用する暗号 の種類を決める際に、その部分が通信路上で改竄される攻撃を受ける可能性が あり（なにしろまだSSL通信は始まっていないのだから）、それによって使用 する暗号強度をダウングレードさせられる危険性などの問題があった。SSL 3.0では、この問題を解決するために冒頭の最後で改竄がなかったかをハッシュ 値で確認するよう対策されるなど、改善が施されている。

ブラウザには使用するSSLのバージョンを指定する設定が用意されている（図1）。 複数のバージョンがオンに設定されている場合、サーバ側が提示してくる利用 可能なバージョンと突き合せて、利用可能な最も新しいものを自動選択して使 うようになっている。

図1: Windowsの「インターネットオプション」の「詳細設定」

そのため、サーバ側がSSL 2.0しかサポートしていないWebサイトにアクセスす ると、弱いプロトコルで通信させられることになるので、ユーザの自衛策とし て、ブラウザの設定で「SSL 2.0を使用する」をオフにしておいた方がよいと いうことになる。

ところが、ちまたには、この「SSL 2.0を使用する」をオンにしろと指示して いるサイトがけっこうある。

• Google検索「"SSL 2.0を使用する"」
• Google検索「"SSL 2.0を使用する" -"3.0"」

自治体の事例。

• 岡山市認証局電子証明書インストール手順書, 岡山県岡山市

  § 電子申請を行う前に

  実際に電子申請をする前に、以下の確認をしてください。

  ブラウザ（インターネットエクスプローラ）のメニューの、[ツール]→[インターネッ トオプション]→[詳細設定]タブの[セキュリティ]の項において、次の２つの項目にチ ェックが入っているかどうか確認し、チェックが入っていない場合はチェックを入れて ください。

  ・ SSL 2.0 を使用する
  ・ SSL 3.0 を使用する

• 岡崎市 施設予約システム, 愛知県岡崎市

  インターネットを利用した通信を安全に行うため、ＳＳＬと呼ばれる通信を暗 号化する手段を導入しています。

  ＳＳＬを利用するには、ＷｅｂブラウザでＳＳＬを使用できるように設定する 必要があります。 本システムでは、”SSL3.0”と”SSL2.0”を使用します。

  ツール→インターネットオプション→詳細設定→セキュリティ→「SSL 2.0 を 使用する」「SSL 3.0 を使用する」をチェックする。

岡山市も岡崎市も、SSL 2.0なんか使っていないだろうと思われるが、 「なんだかよくわからないので 2.0も3.0もオンにさせとけ」といったところか。

通信事業者の事例。

• モバイルポイント よくあるご質問, 日本テレコム

  以下の項目を確認してください。

  -「SSL 2.0を使用する」の設定になっている
  -「SSL 3.0を使用する」の設定になっている

• Yahoo! BB のよくあるご質問, ソフトバンクBB

  Yahoo! BBモバイルをご利用いただくには、JavaスクリプトとSSLに対応したブラウザが必要です。

  ・「SSL 2.0を使用する」の設定になっていること
  ・「SSL 3.0を使用する」の設定になっていること

  （略）を、それぞれご確認ください。

Internet Week もか。

• Internet Week 2005 よくあるお問い合わせ

  当登録ページではお取引の安全性と個人情報の保護、安定したサービス実現の ために、下記ブラウザのご利用をお願いしております。

  下記ブラウザをご利用の場合は128ビットSSL暗号化通信により、情報は最高水準のセキュリティで保護されます。

  （略）

  [セキュリティ]の項目で、[SSL 2.0を使用する]と[SSL 3.0を使用す る]の両方にチェックを付け、[OK]をクリックします。

プロフェッショナルであるはずのマイクロソフトによる解説もひどい。

• Windows XP で Internet Explorer を使用して SSL (128 ビット) で保護された Web サイトに接続できない場合のトラブルシューティング方法, マイクロソフト

  [設定] ボックスの [セキュリティ] にある [SSL 2.0 を使用する] チェック ボックスおよび [SSL 3.0 を使用する] チェック ボックスをオンにし (オンになっていない場合)、[OK] をクリックします。

128ビットを使うためというタイトルのFAQなのに、40ビットへのダウングレー ドを許可せよと言っているようなものだ。

3.0をオフにせよと指示している珍妙な事例もあった。

• サポートお問い合わせページ（ご購入ユーザ様専用）のLOGINに失敗する場合, 富士通エフ・アイ・ピー

  ２．SSLの設定

  「SSL 2.0を使用する」、 「SSL 3.0を使用しない」設定にする必要が あります。
  (「SSL 3.0を使用する」としておいても、サポートお問い合わせページへア クセスできる場合があります。)

こんな指示は全く必要がない。

なんでもかんでも指示しておけば親切だと思われるという勘違いでもあるのか？