コンテンツにスキップ

CERTIFICATE_EXPIRED

CERTIFICATE_EXPIRED

説明

有効期限が切れたSSL/TLS証明書は、最新のブラウザやクライアントから信頼されなくなり、信頼チェーンの切断、セキュリティ警告、および中間者（MitM）攻撃などの複数の潜在的なセキュリティ脆弱性への暴露につながります。

証明書の有効期限が切れると、ブラウザには「この接続ではプライバシーが保護されません」や「証明書の有効期限が切れています」といった目立つセキュリティ警告が表示されます。これらの警告はクライアントとサーバー間の安全な通信を妨げ、ユーザーの信頼とビジネスの継続性に直接影響を与えます。Eコマースやその他の機密環境では、これは多くの場合、ユーザーの離脱、経済的損失、評判の低下につながります。

有効期限切れの証明書がもたらすセキュリティリスクは、ユーザーへの影響だけにとどまりません。攻撃者は有効な証明書がないことを悪用してMitM攻撃を実行し、送信中の機密データを傍受または改ざんする可能性があります。サーバーを認証するための有効な証明書がないと、暗号化された通信の保護機能が失われ、データが傍受、変更、または偽造に対して脆弱なままになります。

たとえば、証明書の有効期限が切れたWebサイトは、ユーザーデータの機密性と完全性を保証できなくなります。攻撃者はWebサイトになりすまし、接続をスプーフィングすることでログイン資格情報や支払い情報を傍受する可能性があり、不正アクセスや金融詐欺につながります。

有効期限切れの証明書は、PCI-DSS、HIPAA、GDPRなど、いくつかのセキュリティ基準への違反も意味します。これらの規制では、機密データを保護するために有効なSSL/TLS証明書が求められます。これに準拠しない場合、法的罰則とさらなる評判の低下を招く可能性があります。

推奨事項

有効期限切れのSSL/TLS証明書に関連するリスクに対処するために、組織はいくつかのプロアクティブな戦略を実装する必要があります。

  • 自動監視ツール：SSL/TLS証明書のステータスを継続的に監視し、有効期限が近づいたときにアラートを送信するツールをデプロイします。これにより、有効期限切れの証明書に気付かないことによるサービスの中断を防ぐことができます。

  • 緊急更新手順：予期しない期限切れが発生した場合の迅速な証明書更新のための明確な緊急手順を確立します。これにより、ダウンタイムが最小限に抑えられ、潜在的なセキュリティリスクから保護されます。

  • 定期監査：SSL/TLS証明書インベントリの定期的な監査を実施して、有効期限が切れた証明書を迅速に特定して更新します。インベントリを最新の状態に保つことで、セキュリティのギャップを回避できます。

  • 証明書の自動プロビジョニング：SSL/TLS証明書の発行と更新を自動化し、継続的な有効性を維持するシステムを実装します。Kubernetesのcert-managerなどのツールにより、このプロセスが合理化されます。

Kubernetesでの証明書の自動プロビジョニング：

Kubernetesでは、cert-managerを使用してSSL/TLS証明書の管理を自動化できます。このツールはLet's Encryptなどの認証局（CA）と対話して、証明書を自動的に発行および更新します。

  • cert-managerのインストール：
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/latest/download/cert-manager.yaml

証明書のプロビジョニングを自動化するためのcert-managerのYAML構成は次のとおりです。

apiVersion: cert-manager.io/v1
kind: Certificate
metadata:
  name: example-cert
  namespace: default
spec:
  secretName: example-cert-secret
  issuerRef:
    name: letsencrypt-prod
    kind: ClusterIssuer
  commonName: example.com
  dnsNames:
    - example.com
    - www.example.com
  duration: 90d
  renewBefore: 30d

Certbotによる監視：

Kubernetesを使用していない環境では、Certbotを使用してSSL証明書の発行と更新を自動化できます。

# Certbotを使用してSSL証明書を自動的に発行または更新する
domain="example.com"
email="admin@example.com"

# Certbotをスタンドアロンモードで実行して証明書を取得する
certbot certonly --standalone -d $domain --email $email --agree-tos

Cronジョブによる証明書の自動更新：

cronジョブを使用して更新プロセスを自動化できます。

# 次のコマンドでcrontabを編集します: crontab -e
0 0 * * * /usr/bin/certbot renew --quiet

このcronジョブは毎日深夜に実行され、更新の時期が来ている証明書をチェックして、手動介入なしで継続的なカバレッジを確保します。

リンク

基準

  • SOC2_CONTROLS:
    • CC_6_7
    • CC_7_1
  • CCPA:
    • CCPA_1798_150
  • GDPR:
    • ART_32
  • HIPAA_CONTROLS:
    • SECURITY252
    • SECURITY212
    • SECURITY213
  • PCI_STANDARDS:
    • REQ_4_1
    • REQ_6_2