OpenSSLに含まれる脆弱性への対応について(2014/04/14)

OpenSSLに重大な脆弱性が見つかり、システムのメモリが第三者に閲覧され、秘密鍵が漏洩する危険性があると報告されています。
下記の内容をご確認の上、必要な対策を行っていただく必要があります。

なお、本ページ内の案内は、当サービスで取り扱いの全SSLブランド共通の案内となっております。

  • ラピッドSSL
  • ラピッドSSLワイルドカード
  • クイックSSLプレミアム

詳細は下記をご確認ください。

当サービスのいずれのSSLブランドも、共通してジオトラストのサイトや管理ツールでの手続きを行います。

対応が必要かどうかの確認

まずは、本脆弱性への対応を行う必要があるかどうかご確認ください。

弊社サーバーサービス(ミニバード、ファイアバード、クローバー)において、固定IPオプションをご利用の上、SSL証明書をご利用の方は、本脆弱性の影響を受けませんので、ご安心ください。

本脆弱性は、下記バージョンのOpenSSLにおいて影響を受けます。
下記バージョンをご利用の上で、当サービス証明書の発行等を行われた場合は、本ページの手順に従ってご対応ください。

  • OpenSSL 1.0.1 から 1.0.1f
  • OpenSSL 1.0.2-beta から 1.0.2-beta1

また、下記のURLから、本脆弱性の影響を受ける可能性があるか確認が可能です。
確認したいURL(外部アクセスが可能なURLに限る)を入力して、結果をご確認ください。

GeoTrust SSLツールボックス
https://ssltools.geotrust.com/checker/views/certCheck.jsp

■脆弱性の影響を受けない場合
Recommendations
OpenSSL Heartbleed vulnerability assessment
Your server is not vulnerable to Heartbleed attack.
■脆弱性の影響を受ける場合
Recommendations
OpenSSL Heartbleed vulnerability assessment
Your server is vulnerable to Heartbleed attack.

脆弱性への対応手順(2014/11/13 情報を更新)

脆弱性への対策が必要な方は、下記の手順に従って「証明書の再発行」を行ってください。

1.OpenSSLを最新のバージョンにアップデートしてください。

アップデート方法に関しては、サーバーの管理者、またはサーバー管理会社にお問い合わせください。

2.新しい秘密鍵、およびCSRを作成してください。

OpenSSLのバージョンアップ後、新しい秘密鍵を作成の上、CSRを再作成してください。

3.ネットオウル管理ツールへログインし、SSL証明書の再発行手続きを行ってください。

ログインフォームより、メンバー管理ツールの「SSLボックス管理」へログインしてください。
ログイン後、ご利用中の証明書一覧が表示されるので、再発行が必要なSSL証明書の再発行手続きを行ってください。

SSL証明書の再発行手続きの詳細についてはこちらをご参照下さい。

4.「Certificate Request Confirmation」メールへの承認を行います。

申請後、上記のような件名のメールが、【承認メールアドレス】宛に送信されますので、送られてきたメール内に記載されているURLをクリックし、承認を行ってください。

URLの例:
https://products.geotrust.com/orders/Approval.do?pin=XXXXX

※【承認メールアドレス】は先ほど管理画面で再発行手続きの際に選択したメールアドレスと同様です。
【登録メールアドレス】ではありませんので、ご注意ください。

5.SSL証明書が再発行されます。

以降はジオトラストでの発行処理となり、発行が完了した後、初回発行時と同様に【登録メールアドレス】宛に証明書が通知されます。

以下のようなタイトルにて、CRTがメールで届きます。
「コモンネーム Your 証明書名 order has been completed」

6.再発行された証明書のインストールを行います。

再発行されたSSL証明書を、再度サーバーにインストールしてください。
正常にインストールされたことをご確認の上、次項の「旧証明書の失効手続きについて」にお進みください。

旧証明書の失効手続きについて(2014/11/13 情報を更新)

前項「脆弱性への対応手順」の手順に沿って、新たな証明書の再発行が完了し、サーバーへのインストールが正常に出来たことが確認出来ましたら、旧証明書の失効化手続きを行う必要があります。

1.ジオトラストの管理ツールへログインします。

下記のURLへアクセスし、必要な情報を入力の上、ログインしてください。

https://products.geotrust.com/orders/orderinformation/authentication.do

  • コモンネーム
  • 登録メールアドレス(※承認アドレスではありません。)
  • 画像認証番号
2.ログイン後、「Revoke Certificate」をクリック

UserPortalの画面において、左側にあるメニューより、「Revoke Certificate」をクリックしてください。

※「Cancel Order」は絶対にクリックしないようご注意ください!

スクリーンショット1
3.失効させる証明書の確認

「Cancel Approval」というページが表示されますので、有効期限の開始日などから失効手続きを行う証明書を確認してください。

スクリーンショット2

証明書の「Details」のリンクをクリックすると、シリアルナンバーなど、証明書に関する詳細な情報の参照も可能です。

4.失効処理の実行

失効させる証明書にチェックを入れ、画面下部の承認ボタンをクリックしてください。
クリック後、すぐに失効処理が行われます。

※必ず旧証明書を選択し、今回新たに再発行した証明書を削除しないようにご注意ください。
失効処理は取り消すことが出来ません。情報をよくご確認の上、お間違いの無いようお手続きください。

スクリーンショット3

ご不明な点等がございましたら、 上記の証明書に関する各情報に加え、こちらで控えた「Valid from」項目もお書き添えの上、当サービスのサポートまでお問い合わせください。