3.2 通信データの暗号化で使用する2048ビット未満の鍵長またはSHA-1を使用した証明書ファイルの廃止

変更内容

V12.6.0以前: 通信データの暗号化を行う際に、2048ビット未満の鍵長で生成された証明書ファイル(注)、またはSHA-1を使用した証明書ファイル(注)を使用できます。

V12.7.0以降: 通信データの暗号化を行う際に、2048ビット未満の鍵長で生成された証明書ファイル(注)、またはSHA-1を使用した証明書ファイル(注)を使用できません。

注）システム用の動作環境ファイルに指定するサーバ秘密鍵ファイル、サーバ証明書ファイル、およびクライアント用の動作環境ファイルに指定するCA証明書ファイル

非互換

以下の条件の場合、Symfoware/RDBの起動に失敗します。
1. Symfoware Server V12.7.0を使用する。かつ
2. サーバのOSにRHELまたはWindowsまたはSolaris11(注)を使用する。かつ
3. システム用の動作環境ファイルの"SSL_USE"パラメタにONを指定する。かつ
4. システム用の動作環境ファイルの"SSL_CIPHER_SUITES"パラメタを省略、またはTLS_RSA_AES_256_GCM_SHA384を指定、またはTLS_RSA_AES_256_CBC_SHA256を指定、またはSSL_RSA_AES_256_CBC_SHA1を指定する。かつ
5. システム用の動作環境ファイルの"SSL_CERT_FILE"パラメタまたは"SSL_PRIV_KEY_FILE"パラメタに、2048ビット未満の鍵長を使用した証明書を指定する、またはSHA-1を使用した証明書を指定する。
注）以下の場合は該当しません。
1. SPARC M10、SPARC M12の機種を使用している。かつ、
2. Solaris 11.1以降
以下の条件の場合、クライアントからの接続に失敗します。
1. Symfoware Server V12.7.0以降のクライアント機能を使用する。かつ
2. システム用の動作環境ファイルの"SSL_USE"パラメタにONを指定する。かつ
3. システム用の動作環境ファイルの"SSL_CIPHER_SUITES"パラメタを省略、またはTLS_RSA_AES_256_GCM_SHA384を指定、またはTLS_RSA_AES_256_CBC_SHA256を指定、またはSSL_RSA_AES_256_CBC_SHA1を指定する。かつ
4. クライアント用の動作環境ファイルの"SSL_CLI_CA_CERT_FILE"パラメタに、2048ビット未満の鍵長を使用した証明書を指定する、またはSHA-1を使用した証明書を指定する。

Symfoware ServerをV12.7.0以降に更改した場合、現状のシステムで運用している2048ビット未満の鍵長またはSHA-1を用いた証明書が使用できなくなります。

なお、サーバのOSが非互換条件のaかつbで、かつ、クライアントがV12.6.0以前の場合、当該非互換は該当しません。

	V12.7.0以降のクライアント	V12.6.0以前のクライアント
V12.7.0以降のサーバ (非互換条件のaかつb)	サーバ：RDB起動成功クライアント：通信失敗	サーバ：RDB起動成功クライアント：通信成功
V12.7.0以降のサーバ (非互換条件のaかつb以外)	サーバ：RDB起動失敗クライアント：通信不可	サーバ：RDB起動失敗クライアント：通信不可
V12.6.0以前のサーバ	サーバ：RDB起動成功クライアント：通信失敗	従来動作

対処方法

通信データの暗号化で使用する証明書を、2048ビット以上の鍵長かつSHA-2以上で再発行してください。

また、再発行した各証明書のファイル配置先を、システム用の動作環境ファイルのSSL_CERT_FILE、SSL_PRIV_KEY_FILE、およびクライアント用の動作環境ファイルのSSL_CLI_CA_CERT_FILEに指定してください。