13.7. システム全体の暗号化ポリシーに従わないようにアプリケーションを除外
アプリケーションで使用される暗号化関連の設定をカスタマイズする必要がある場合は、サポートされる暗号スイートとプロトコルをアプリケーションで直接設定することが推奨されます。
/etc/crypto-policies/back-ends ディレクトリーからアプリケーション関連のシンボリックリンクを削除することもできます。カスタマイズした暗号化設定に置き換えることもできます。この設定により、除外されたバックエンドを使用するアプリケーションに対するシステム全体の暗号化ポリシーが使用できなくなります。この修正は、Red Hat ではサポートされていません。
13.7.1. システム全体の暗号化ポリシーを除外する例
wget
wget ネットワークダウンローダーで使用される暗号化設定をカスタマイズするには、--secure-protocol オプションおよび --ciphers オプションを使用します。以下に例を示します。
$ wget --secure-protocol=TLSv1_1 --ciphers="SECURE128" https://example.com
詳細は、wget(1) man ページの HTTPS (SSL/TLS) Options のセクションを参照してください。
curl
curl ツールで使用する暗号を指定するには、--ciphers オプションを使用して、その値に、コロンで区切った暗号化のリストを指定します。以下に例を示します。
$ curl https://example.com --ciphers '@SECLEVEL=0:DES-CBC3-SHA:RSA-DES-CBC3-SHA'
詳細は、curl(1) の man ページを参照してください。
Firefox
Web ブラウザーの Firefox でシステム全体の暗号化ポリシーをオプトアウトできない場合でも、Firefox の設定エディターで、対応している暗号と TLS バージョンをさらに詳細に制限できます。アドレスバーに about:config と入力し、必要に応じて security.tls.version.min の値を変更します。たとえば、security.tls.version.min を 1 に設定すると、最低でも TLS 1.0 が必要になり、security.tls.version.min 2 が TLS 1.1 になります。
OpenSSH
OpenSSH サーバーに対するシステム全体の暗号化ポリシーを除外するには、/etc/sysconfig/sshd ファイルの CRYPTO_POLICY= 変数行のコメントを除外します。この変更後、/etc/ssh/sshd_config ファイルの Ciphers セクション、MACs セクション、KexAlgoritms セクション、および GSSAPIKexAlgorithms セクションで指定した値は上書きされません。詳細は、sshd_config(5) の man ページを参照してください。
OpenSSH クライアントに対するシステム全体の暗号化ポリシーをオプトアウトするには、以下のいずれかのタスクを実行します。
-
指定のユーザーの場合は、
~/.ssh/configファイルのユーザー固有の設定でグローバルのssh_configを上書きします。 -
システム全体の場合は、辞書学的に
50-redhat.confファイルよりも前に来るように、50 未満の 2 桁の接頭辞と、.confの接尾辞で/etc/ssh/ssh_config.d/ディレクトリーにあるドロップイン設定ファイルに暗号ポリシーを指定します (例:49-crypto-policy-override.confなど)。
詳細は、ssh_config(5) の man ページを参照してください。
Libreswan
詳細は、Securing networks の Configuring IPsec connections that opt out of the system-wide crypto policies を参照してください。
関連情報
-
update-crypto-policies(8)の man ページ
