サポートされている暗号スイート

暗号スイート (Cipher Suite) は、Secure Sockets Layer (SSL)/Transport Layer Security (TLS) ハンドシェーク中にセキュリティ設定をネゴシエートするために使用される暗号の組み合わせです。

セキュリティチームと正しい暗号設定を確認し、セキュリティ要件に基づいて eCDN ゾーンの暗号スイート設定を更新してください。

以下の SCAPI eCDN エンドポイントは、指定されたゾーンで提供される顧客の Web サイトやホスト名にアクセスする際に、ブラウザーやデバイスが使用できる TLS 暗号スイートを取得して制限します。

すべての接続において、TLS 1.2 以降のバージョンの使用が推奨されます。

Note

暗号スイートのタイプ

互換性のある暗号スイート

互換性のある暗号スイートは、追加の暗号スイートをサポートすることで、より広範な互換性を提供します。

ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-CHACHA20-POLY1305
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-CHACHA20-POLY1305
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES128-SHA256
ECDHE-RSA-AES128-SHA256
ECDHE-ECDSA-AES256-SHA384
ECDHE-RSA-AES256-SHA384

レガシー暗号スイート

レガシー暗号スイートには、当社の eCDN パートナーがサポートするすべての暗号スイートが含まれます。デフォルトでは、これらのレガシー暗号スイートが選択されます。これは顧客の実装に対して最も広範な互換性を提供するためですが、一部の弱い暗号が含まれています。

getCipherSuite エンドポイントは、Legacy の cipherSuiteType と空の暗号スイート配列を返すため、次のデフォルトのレガシー暗号スイートが使用されます。

AEAD-AES128-GCM-SHA256
AEAD-AES256-GCM-SHA384
AEAD-CHACHA20-POLY1305-SHA256
ECDHE-ECDSA-AES128-GCM-SHA256
ECDHE-ECDSA-CHACHA20-POLY1305
ECDHE-RSA-AES128-GCM-SHA256
ECDHE-RSA-CHACHA20-POLY1305
ECDHE-ECDSA-AES256-GCM-SHA384
ECDHE-RSA-AES256-GCM-SHA384
ECDHE-ECDSA-AES128-SHA256
ECDHE-RSA-AES128-SHA256
ECDHE-ECDSA-AES256-SHA384
ECDHE-RSA-AES256-SHA384
ECDHE-ECDSA-AES128-SHA
ECDHE-RSA-AES128-SHA
AES128-GCM-SHA256
AES128-SHA256
AES128-SHA
ECDHE-RSA-AES256-SHA
AES256-GCM-SHA384
AES256-SHA256
AES256-SHA
DES-CBC3-SHA

カスタム暗号スイート

許可する暗号スイートのセットを組み合わせたり指定したりするには、updateCipherSuites エンドポイントを使用して、サポートするカスタム暗号スイートを指定し、cipherSuiteType を Custom に設定します。cipherSuiteType を Custom に設定する場合は、少なくとも 5 つの有効な暗号を指定する必要があります。

TLS 1.3 暗号スイート

HTTPS 接続に TLS 1.3 が必要な場合は、まず、ゾーンの Business Manager 暗号化設定または updateSecuritySettings エンドポイントを使用して、ゾーンで TLS 1.3 接続が受け入れられるようにする必要があります。これにより、次の暗号が自動的に有効になります。

AEAD-AES128-GCM-SHA256 (IANA 名: TLS_AES_128_GCM_SHA256 )
AEAD-AES256-GCM-SHA384 (IANA 名: TLS_AES_256_GCM_SHA384 )
AEAD-CHACHA20-POLY1305-SHA256 (IANA 名: TLS_CHACHA20_POLY1305_SHA256 )

暗号スイートの概要

OpenSSL 暗号名	IANA 名	利用可能な暗号スイートタイプ	最小 TLS プロトコルバージョン
ECDHE-ECDSA-AES128-GCM-SHA256	TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256	最新、互換、レガシー	TLS 1.2
ECDHE-ECDSA-CHACHA20-POLY1305	TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256	最新、互換、レガシー	TLS 1.2
ECDHE-RSA-AES128-GCM-SHA256	TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256	最新、互換、レガシー	TLS 1.2
ECDHE-RSA-CHACHA20-POLY1305	TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256	最新、互換、レガシー	TLS 1.2
ECDHE-ECDSA-AES128-SHA256	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256	互換、レガシー	TLS 1.2
ECDHE-ECDSA-AES128-SHA	TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA	レガシー	TLS 1.0
ECDHE-RSA-AES128-SHA256	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256	互換、レガシー	TLS 1.2
ECDHE-RSA-AES128-SHA	TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA	レガシー	TLS 1.0
AES128-GCM-SHA256	TLS_RSA_WITH_AES_128_GCM_SHA256	レガシー	TLS 1.2
AES128-SHA256	TLS_RSA_WITH_AES_128_CBC_SHA256	レガシー	TLS 1.2
AES128-SHA	TLS_RSA_WITH_AES_128_CBC_SHA	レガシー	TLS 1.0
ECDHE-ECDSA-AES256-GCM-SHA384	TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384	最新、互換、レガシー	TLS 1.2
ECDHE-ECDSA-AES256-SHA384	TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384	互換、レガシー	TLS 1.2
ECDHE-RSA-AES256-GCM-SHA384	TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	最新、互換、レガシー	TLS 1.2
ECDHE-RSA-AES256-SHA384	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384	互換、レガシー	TLS 1.2
ECDHE-RSA-AES256-SHA	TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA	レガシー	TLS 1.0
AES256-GCM-SHA384	TLS_RSA_WITH_AES_256_GCM_SHA384	レガシー	TLS 1.2
AES256-SHA256	TLS_RSA_WITH_AES_256_CBC_SHA256	レガシー	TLS 1.2
AES256-SHA	TLS_RSA_WITH_AES_256_CBC_SHA	レガシー	TLS 1.0
DES-CBC3-SHA	TLS_RSA_WITH_3DES_EDE_CBC_SHA	レガシー	TLS 1.0
AEAD-AES128-GCM-SHA256	TLS_AES_128_GCM_SHA256	カスタム	TLS 1.3
AEAD-AES256-GCM-SHA384	TLS_AES_256_GCM_SHA384	カスタム	TLS 1.3
AEAD-CHACHA20-POLY1305-SHA256	TLS_CHACHA20_POLY1305_SHA256	カスタム	TLS 1.3

よくある質問 (FAQ)

ペイメントカード業界データセキュリティ基準 (PCI DSS) に準拠するには、どのような暗号スイートが必要ですか?
- PCI DSS 準拠には、次の暗号スイートが推奨されます。お客さまのサイトのセキュリティ要件に準拠していることを確認するために、セキュリティチームに問い合わせてください。
  - ECDHE-ECDSA-AES128-GCM-SHA256
  - ECDHE-RSA-AES128-GCM-SHA256
  - ECDHE-ECDSA-AES256-GCM-SHA384
  - ECDHE-RSA-AES256-GCM-SHA384
  - ECDHE-ECDSA-CHACHA20-POLY1305
  - ECDHE-RSA-CHACHA20-POLY1305
SSL Labs の脆弱な暗号レポートにリストされている脆弱な暗号スイートを無効にするには、どうすればよいですか?
- Qualys SSL Labs レポートにリストされている脆弱な暗号を無効にするには、次の手順を実行します。
  1. 前の表を使用して、対応する暗号スイート情報を取得します。
  2. 許可する暗号スイートを特定します。
  3. updateCipherSuites エンドポイントを使用して、更新するカスタム暗号スイートを指定し、該当するゾーンの cipherSuiteType を Custom に設定します。
暗号スイートはどのような順序で使用されますか?
- ECDSA 暗号スイートは RSA よりも優先され、その後、設定された順序で暗号スイートが検討されます。つまり、ECDSA と RSA の両方が使用されている場合、Cloudflare は ECDSA 暗号を設定された順序で最初に提示します。次に、RSA 暗号が設定された順序で表示されます。
サイトにアクセスすると、ERR_SSL_VERSION_OR_CIPHER_MISMATCH という暗号スイートの不一致エラーが表示されるのはなぜですか?
- 証明書が、ゾーン用に選択した暗号スイートと互換性があることを確認してください。たとえば、RSA 証明書をアップロードする場合、暗号スイートの選択で ECDSA 証明書のみのサポートを指定することはできません。