実務で躓いたssl証明書の確認とsslインスペクション

https://zenn.dev/yo_dev/articles/ssl-inspection

Transcript

1. 実務で躓いたSSL証明書の確認と SSLインスペクション 2026/10/01 y-osaka0123
2. 躓いた経緯
3. 作業者がブラウザで SSL証明書を確認したところ、更新後の証明書とは異なる証明書が表示され た。 経緯 躓いた流れは以下の通り 1. 2. 3. サーバーに設定したSSL証明書の有効期限が迫る 新たに証明書を発行し、サーバーへの更新を実施 更新完了後ブラウザから証明書を確認すると、 更新した証明書と異なる証明書が表示された 設定値が異なった項目 • 発行元 • シリアル番号 • 発行日 • 有効期限 ※シリアル番号はビューアの詳細タブに記載あり 証明書（例）
4. 解決策
5. 社外ネットワークから更新対象サイトへアクセスすると、更新後の証明書が表示され、接続経路 が表示結果に影響しているとわかった 解決策 社外ネットワークの例 • • スマホのテザリング（モバイルデータ通信） 自宅のWi-Fi 上記のネットワークを利用することで、 更新後の証明書をブラウザで表示できた。 社内ネットワーク インターネット クライアント Webサイト 異なる証明書 留意点：いづれも会社のvpnを利用しない 社外ネットワーク ※本資料で扱う用語 社内ネットワーク （SSLインスペクションが実施されている環境） 社外ネットワーク （SSLインスペクションが実施されていない環境） クライアント 更新後の証明書
6. 原因と通信フロー
7. 接続経路による証明書の違いは、社内ネットワーク上で SSLインスペクションが行われている可 能性を示している 原因 1. SSLインスペクションの概要 ファイアウォールに設定する通信内容の監視・仮の証明書の発行という機能をもつ 会社が社内ネットワークに設定することが多い 2. SSLインスペクションの目的 通信を監視することで社外への情報漏洩や社内へのマルウェア侵入の発見を可能にする 3. 仕組み • 復号 利用者とWebサイトの間に立ち、暗号化された通信をいったん復号する • 検査 復号した中身に、マルウェアや不正データが含まれていないかをチェックする • 再暗号化 問題がなければ、改めて暗号化した相手に届ける
8. SSLインスペクションを原因仮説とした場合、今回の証明書の違いは以下の通信フローで説明で きる。 通信フロー 社内ネットワーク クライアント インターネット ファイアウォール クライアントからのリクエストを 復号‧検査‧再暗号化 サイトからのレスポンスを 復号‧検査‧再暗号化 再暗号化にファイアウォールが⽣成す るSSL証明書を発⾏ Webサイト
9. 再発生時の対応
10. 今後、作業者は SSL証明書を確認する際、 SSLインスペクションを経由しない別経路からアクセス する。 再発時の対応 ブラウザで更新した内容と異なるSSL証明書が表示される場合は、SSLインスペクションを疑う。 本事象はエラーメッセージなどが表示されない為、知識として覚えておく。 確認方法 ①サイト情報のアイコン を押下 この接続は保護されていますを押下 ②証明書は有効です を押下 ③証明書を確認
11. 参考資料 This Article : https://yo_dev/articles/ssl-inspection cybersecurity-jp : https://cybersecurity-jp.com/column/100578