4.2. RHEL 10 における TLS のセキュリティーに関する考慮事項

RHEL で TLS を設定する際には、主要なセキュリティーの側面を見直してください。プロトコル、暗号スイート、鍵長を選択することで、暗号化設定を強化できます。

RHEL 10 ライブラリーは、ほとんどのデプロイメントにおいてセキュアなデフォルト設定を提供します。TLS の実装では、可能な限りセキュアなアルゴリズムが使用されます。これらは、レガシーなクライアントやサーバーとの接続を妨げるものではありません。

セキュリティーが厳格な環境では、強化された設定を適用してください。レガシーなクライアントまたはサーバーがセキュアなアルゴリズムをサポートしていない場合は、強化された設定を使用します。これらの設定は、そのようなクライアントが接続することが想定されていない、または許可されていない場合に適用します。

RHEL 10 は、システム全体の暗号化ポリシーメカニズムを使用して TLS を設定します。TLS バージョン 1.2 より前のバージョンはサポートされなくなりました。DEFAULT、FUTURE、および LEGACY 暗号化ポリシーは、TLS 1.2 および 1.3 のみを許可します。

TLS 設定のハードニングを最も簡単に行う方法は、update-crypto-policies --set FUTURE コマンドを使用して、システム全体の暗号化ポリシーレベルを FUTURE に切り替えることです。

RHEL のシステム全体の暗号化ポリシーに従わない場合は、以下の推奨事項に従います。これらは、セットアップに合わせてカスタムの暗号化ポリシーを作成する場合にも適用されます。これらの推奨事項は、プロトコル、暗号スイート、および鍵長を対象としています。