4.2. RHEL 10 における TLS のセキュリティーに関する考慮事項

RHEL で TLS を設定する際には、主要なセキュリティーの側面を見直してください。プロトコルの選択、暗号スイート、鍵長を理解することは、暗号化の設定を強化するうえで役立ちます。

RHEL 10 に含まれるライブラリーによって提供されるデフォルト設定は、ほとんどのデプロイメントに対応できる十分にセキュアな設定です。TLS 実装では、従来のクライアントやサーバーとの間の接続を妨げることなく、可能な限りセキュアなアルゴリズムを使用します。

セキュリティー要件が厳格な環境、つまりセキュアなアルゴリズムやプロトコルをサポートしていない従来のクライアントやサーバーの接続が想定または許可されていない環境では、セキュリティーを強化した設定を適用してください。

RHEL 10 では、システム全体の暗号化ポリシーメカニズムを使用して TLS 設定が実行されます。1.2 未満の TLS バージョンはサポートされなくなりました。DEFAULT、FUTURE、および LEGACY 暗号化ポリシーは、TLS 1.2 および 1.3 のみを許可します。詳細は、セキュリティーの強化 ドキュメントの システム全体の暗号化ポリシーの使用 の章を参照してください。

TLS 設定のハードニングを最も簡単に行う方法は、update-crypto-policies --set FUTURE コマンドを使用して、システム全体の暗号化ポリシーレベルを FUTURE に切り替えることです。

RHEL システム全体の暗号化ポリシーを使用しない場合、またはセットアップに合わせてカスタマイズしたカスタム暗号化ポリシーを作成する場合は、カスタムの設定で、推奨されるプロトコル、暗号スイート、および鍵の長さについて、次の推奨事項を使用してください。