Apacheにおけるディフィー・ヘルマン暗号を無効にする

Apache Webサーバでは、「鍵交換アルゴリズム」および「認証方法」としてディフィー・ヘルマン (DH) 公開鍵暗号化プロトコルを使用する場合があります。このプロトコルはVulnerability ProtectionDeep Security Agent/Applianceでサポートされていないので、SSLフィルタを動作させるためにもApache Webサーバで無効にする必要があります。

httpd-ssl.confファイルの「SSLCipherSuite」変数で最初の2つのフィールドに、「鍵交換アルゴリズム」および「認証方法」のパラメータがあります。ディフィー・ヘルマンをApacheで使用しないようにするには、これらのフィールドに「!ADH」を追加します。

次の例は、ディフィー・ヘルマンでの鍵交換および認証方法をApache上で無効にするのに必要な構文を示したものです。

SSLCipherSuite !ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL

Apacheのビルドによっては、設定ファイルが別の場所にある可能性があります。たとえば、次のとおりです。

• RHELの初期インストールの場合: /etc/httpd/conf.d/ssl.conf
• Apache 2.2.x: /apache2/conf/extra/httpd-ssl.conf

参照

詳細は、「http://httpd.apache.org/docs/2.2/mod/mod_ssl.html#sslciphersuite」にあるSSLCipherSuiteのApacheのドキュメントを参照してください。