ネゴシエートされた暗号スイートとは？推奨される組み合わせ・診断基準・Apache/nginx/IISの設定方法

ネゴシエートされた暗号スイートとは

ネゴシエートされた暗号スイートとは、TLS 接続の際にクライアントとサーバーが交渉（ネゴシエート）して決めた「暗号スイート」、つまり鍵交換・認証・暗号化・完全性保護の方式の組み合わせのうち、実際に選ばれたものです。

Protocol  : TLSv1.2
Cipher    : ECDHE-RSA-AES128-GCM-SHA256

サーバーが弱い暗号スイートを有効にしていたり、強いものより弱いものを優先していたりすると、通信の秘匿性や前方秘匿性（サーバー秘密鍵が将来漏れても過去の通信が解読されない性質）が損なわれます。セキュリティAIチェッカーは、現代的なクライアントとして接続したときにサーバーが実際に選んだ暗号スイートを1つ観測し、推奨される組み合わせかどうかを評価します。

暗号スイート名の読み方

IANA（IETF）形式の名前で説明します。

OpenSSL 形式では同じものが ECDHE-RSA-AES128-GCM-SHA256 と表記されます。CBC モードは ECDHE-RSA-AES256-SHA384 のように「CBC」という語が入らない点に注意が必要です。

推奨される暗号スイートと避けるべき暗号スイート

1回のネゴシエーション結果が示すもの

暗号スイートは、クライアントが提示した候補の中からサーバーが選びます（サーバー優先設定が無効なら、クライアントの順序が重視されます）。したがって、1回の観測で分かるのは「この候補を提示したとき何が選ばれたか」だけで、サーバーが有効にしている全スイートの一覧ではありません。

弱いスイートが有効でも、強いものが選ばれれば観測されません。ASVS V12.1.2 の「推奨スイートのみ有効化」を完全に確認するには、全スイートを列挙する専用ツールが必要です。

プロトコルのバージョン（TLS 1.0／1.1 が無効か）は「TLS 1.2以上のみを許可」で確認します。この項目は、選ばれた暗号スイートの種類に集中しています。

ネゴシエートされた暗号スイートの診断基準（セキュリティAIチェッカー）

取得対象と方法

• 「TLS 1.2以上のみを許可」の「現行プローブ」（TLS 1.2 以上、証明書検証あり、SNI 指定、Node.js 既定の暗号スイートを提示）で成立した接続から、Node.js の getCipher() が返す standardName（IETF 名）を取得します。取得できない場合は OpenSSL 名を使います。
• Node.js 22（OpenSSL 3）が提示する候補は、TLS 1.3 の3スイートに続き ECDHE-GCM、DHE-GCM、CBC 系を含み、!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!SRP:!CAMELLIA で弱いものを除いた一覧です。そのため、実際の観測結果はほとんどの場合○か△になります。

判定条件

根拠表示には「〇〇をネゴシエートしました。これは有効な全スイートの列挙ではありません。」と、観測したスイート名と限界を併記します。

得点への影響

重み3。○は3点、△は1.35点（3×0.45）、×は0点。対象外は分母から除外します。

自治体サイトでの判定例

弱い暗号スイートが選ばれるとどんなリスクがあるか

攻撃シナリオ

• 前方秘匿性がない場合：通信を長期間記録しておいた攻撃者が、後にサーバー秘密鍵を入手（サーバー侵害、バックアップ流出など）すると、記録済みの静的RSA鍵交換の通信をまとめて復号できます。
• CBC モード：実装の不備と組み合わさると、Lucky Thirteen（CVE-2013-0169）のようなパディング・タイミング系攻撃の対象になってきた歴史があります。
• 3DES：64ビットブロック暗号であり、大量通信で衝突を利用する Sweet32（CVE-2016-2183）の対象です。
• RC4：統計的な偏りにより平文を推定できることが知られ、RFC 7465 で TLS での使用が禁止されています。

想定される被害

• 問い合わせフォームや申請画面の入力内容（氏名、住所、連絡先）の事後的な解読
• 外部診断・監査での指摘、調達要件（ASVS Level 2、CRYPTREC ガイドライン準拠）の不適合

推奨暗号スイートだけを使う設定方法（Apache・nginx・IIS・CDN）

基本方針

Mozilla の Intermediate 構成（TLS 1.2／1.3、ECDHE＋AEAD のみ）を基準にし、互換性要件が特に無ければこれに合わせます。設定の生成には Mozilla SSL Configuration Generator が使えます。

Apache（mod_ssl）

SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off
SSLSessionTickets off

SSLCipherSuite の上記指定は TLS 1.2 以下に適用されます。TLS 1.3 のスイートは既定で安全なものだけが有効です（OpenSSL 1.1.1 以降を使う mod_ssl では、TLS 1.3 用に SSLCipherSuite TLSv1.3 … という別指定があります）。

nginx

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

Mozilla の Intermediate 構成では、すべての候補が十分に強いことを前提に、サーバー優先を off にしています。弱いスイートを残したまま互換性のため提供する場合は、ssl_prefer_server_ciphers on; と強い順の並びで、弱いものが選ばれないようにします。

IIS（Windows Server）

暗号スイートの順序と有効化は、グループポリシー（「SSL 暗号の順位」）または PowerShell の TLS コマンド（Get-TlsCipherSuite、Disable-TlsCipherSuite 等）で設定します。Microsoft のドキュメントは、暗号やハッシュの制御を個別のレジストリ編集ではなく、暗号スイート順序の構成で行うよう案内しています。

Get-TlsCipherSuite | Format-Table Name
Disable-TlsCipherSuite -Name "TLS_RSA_WITH_3DES_EDE_CBC_SHA"

Next.js（Vercel）・CDN

Vercel は TLS 1.3 の3スイートと、TLS 1.2 の ECDHE＋AES-GCM／ChaCha20-Poly1305 のみをサポートしており、前方秘匿性のある強い暗号に限定されています。他の CDN では「セキュリティポリシー」「TLS プロファイル」で推奨プロファイル（例：TLS 1.2 以上・ECDHE＋AEAD のみ）を選択します。

段階的な導入手順

1. 全スイートを列挙して現状を把握する（下記 nmap・testssl.sh 等）。
2. アクセスログに暗号スイートを記録（Apache %{SSL_CIPHER}x、nginx $ssl_cipher）し、CBC や静的RSAで接続している利用者がいないか確認する。
3. 不要な弱いスイートを削除し、再度列挙して確認する。

設定後の確認方法

# 実際にネゴシエートされるスイートを確認
openssl s_client -connect www.example.lg.jp:443 -servername www.example.lg.jp -tls1_2 </dev/null 2>/dev/null | grep -E "Protocol|Cipher"
# 静的RSAやCBCが受け入れられないこと（失敗すれば良い）
openssl s_client -connect www.example.lg.jp:443 -servername www.example.lg.jp -tls1_2 -cipher 'AES256-GCM-SHA384' </dev/null
openssl s_client -connect www.example.lg.jp:443 -servername www.example.lg.jp -tls1_2 -cipher 'ECDHE-RSA-AES256-SHA384' </dev/null
# 有効な全スイートの列挙
nmap --script ssl-enum-ciphers -p 443 www.example.lg.jp

サイトを壊さないためのガードレール

• CBC や静的RSAを外すと、ごく古い端末（Windows 7 の旧ブラウザ、古い組込み機器、古い Java 実行環境）が接続できなくなる場合があります。ログで利用状況を確認してから外します。
• ECDSA 証明書を併用すると、TLS 1.2 で ECDHE_ECDSA スイートが使え、性能面でも有利です。RSA 証明書との併用（デュアル証明書）が可能かは、サーバーソフトウェアと証明書の発行条件を確認してください。

よくある質問（FAQ）

参考資料

• OWASP ASVS 5.0.0 V12 Secure Communication（V12.1.2）
• RFC 9325 Recommendations for Secure Use of TLS and DTLS（BCP 195）
• Mozilla Server Side TLS ガイドライン（JSON）
• Node.js Documentation: TLS (SSL)
• Vercel Docs「Encryption and TLS」
• nginx Module ngx_http_ssl_module
• Microsoft Learn「Transport Layer Security (TLS) registry settings」
• IPA「TLS暗号設定ガイドライン」（CRYPTREC）

「ネゴシエートされた暗号スイート」と関連する診断項目

• TLS 1.2以上のみを許可high
• HTTPSで配信されているcritical
• TLS証明書が現在有効critical
• 証明書チェーンが信頼されるhigh
• HTTPからHTTPSへ転送high
• HSTSが設定されているhigh
• HSTSの有効期間medium
• HSTSをサブドメインにも適用medium