Azure Backup でのトランスポート層セキュリティ

トランスポート層セキュリティ (TLS) は、ネットワーク経由で転送される際のデータのセキュリティを維持する暗号化プロトコルです。 Azure Backup は、トランスポート層セキュリティを使用して、転送されるバックアップ データのプライバシーを保護します。 この記事では、TLS 1.2 プロトコルを有効にする手順について説明します。これにより、以前のバージョンよりセキュリティが強化されます。

以前のバージョンの Windows

お使いのコンピューターが以前のバージョンの Windows で実行されている場合は、下に示されている対応する更新プログラムをインストールし、サポート技術情報の記事に記載されているレジストリ変更を適用する必要があります。

オペレーティング システム	KB article
Windows Server 2008 SP2	https://support.microsoft.com/help/4019276
Windows Server 2008 R2、Windows 7、Windows Server 2012	https://support.microsoft.com/help/3140245

Note

更新プログラムによって、必要なプロトコル コンポーネントがインストールされます。 インストール後、上のサポート技術情報の記事に記載されているレジストリ キーの変更を行って、必要なプロトコルを適切に有効にする必要があります。

Windows レジストリの確認

SChannel プロトコルの構成

次のレジストリ キーを使用して、TLS 1.2 プロトコルが SChannel コンポーネント レベルで 有効になるようにします。

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "DisabledByDefault"=dword:00000000

Note

ここに示す値は、Windows Server 2012 R2 以降のバージョンでは既定で設定されています。 これらのバージョンの Windows では、レジストリ キーが存在しない場合、作成する必要はありません。

.NET Framework の構成

次のレジストリ キーを使用して、強力な暗号化をサポートするように .NET Framework を構成します。 .NET Framework の構成の詳細については、こちらを参照してください。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

Azure TLS 証明書の変更

Azure TLS/SSL エンドポイントには、新しいルート CA までつながっている更新後の証明書が含まれるようになりました。 後続の変更に更新後のルート CA が含まれるようにします。 アプリケーションに与える可能性のある影響について詳しくは、こちらをご覧ください。

以前、Azure サービスで使用されている TLS 証明書のほとんどは、次のルート CA までつながりました。

CA の共通名	サムプリント (SHA1)
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474

これで、Azure サービスによって使用される TLS 証明書は、次のいずれかのルート CA までつながります。

CA の共通名	サムプリント (SHA1)
DigiCert Global Root G2	df3c24f9bfd666761b268073fe06d1cc8d4f82a4
DgiCert Global Root CA	a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474
D-TRUST Root Class 3 CA 2 2009	58e8abb0361533fb80f79b1b6d29d3ff8d5f00f0
Microsoft RSA Root Certificate Authority 2017	73a5e64a3bff8316ff0edccc618a906e4eae4d74
Microsoft ECC Root Certificate Authority 2017	999a64c37ff47d9fab95f14769891460eec4c3c5

よく寄せられる質問

なぜ TLS 1.2 を有効にするのですか?

TLS 1.2 は、SSL 2.0、SSL 3.0、TLS 1.0、TLS 1.1 などの以前の暗号化プロトコルより安全性が向上しています。 Azure Backup サービスでは既に、TLS 1.2 が完全にサポートされています。

使用される暗号化プロトコルは何によって決まりますか?

暗号化された会話を確立するために、クライアントとサーバーの両方でサポートされている最上位のプロトコル バージョンがネゴシエートされます。 TLS ハンドシェイク プロトコルの詳細については、「TLS を使用してセキュリティで保護されたセッションを確立する」を参照してください。

TLS 1.2 を有効にしないと、どのような影響がありますか?

プロトコル ダウングレード攻撃に対するセキュリティを強化するため、Azure Backup では 1.2 より前のバージョンの TLS を段階的に無効化し始めています。 これは、レガシ プロトコルと暗号スイートの接続を許可しないようにする、サービス全体での長期的な移行の一環です。 Azure Backup のサービスとコンポーネントでは、TLS 1.2 が完全にサポートされています。 ただし、必要な更新プログラムのない Windows バージョンや特定のカスタマイズされた構成では、TLS 1.2 プロトコルを提供できない場合があります。 この場合、次のうち 1 つ以上の障害が発生する可能性がありますが、これらに限定されるものではありません。

• バックアップと復元の操作が失敗する場合があります。
• バックアップ コンポーネントの接続がエラー10054 (既存の接続がリモート ホストによって強制的に切断された) によって失敗します。
• Azure Backup に関連するサービスが、通常どおりに停止または開始されません。

その他のリソース

• トランスポート層セキュリティ プロトコル
• 展開されたオペレーティング システム全体で TLS 1.2 のサポートを確保する
• .NET Framework でのトランスポート層セキュリティ (TLS) のベスト プラクティス