SSL フォワード プロキシの概要

プロキシ モードでサポートされている暗号方式

SSL 暗号は、暗号化暗号、認証方法、および圧縮で構成されます。 表 1 に、サポートされている暗号のリストを示します。NULL 暗号は除外されます。

以下の SSL プロトコルがサポートされています。

• SSLv3

• TLS1

サーバー認証

クライアントとデバイス間の暗黙的な信頼(クライアントがデバイスによって生成された証明書を受け入れるため)は、SSLプロキシの重要な側面です。サーバー認証が侵害されないことが非常に重要です。ただし、実際には、自己署名証明書と異常のある証明書が豊富にあります。異常には、期限切れの証明書、ドメイン名と一致しない共通名のインスタンスなどが含まれます。

SSL フォワード プロキシがサーバー認証を完全に無視するように指定できます。この場合、SSL フォワード プロキシは、サーバー証明書の検証プロセス中に発生したエラー (CA 署名の検証の失敗、自己署名証明書、証明書の有効期限など) を無視します。

SSL 転送プロキシー・プロファイルの作成時に、SSL プロキシーがサーバー認証エラーを無視するかどうかを指定できます。

• サーバー認証エラーを無視 しないように 指定すると、次のシナリオが発生します。

  • 認証が成功した場合は、キーを置き換え、発行者名をプロキシ プロファイルのルート CA 証明書で構成されている発行者名に変更することで、新しい証明書が生成されます。

  • 認証に失敗すると、接続は切断されます。

• サーバー認証エラーを無視するように指定すると、次のシナリオが発生します。

  メモ：

  このオプションを認証用に構成すると、Web サイトがまったく認証されないため、お勧めしません。ただし、このオプションを使用すると、SSL セッションがドロップされる根本原因を効果的に特定できます。

  • 証明書が自己署名の場合は、キーのみを置き換えることによって新しい証明書が生成されます。発行者名は変更されません。これにより、証明書が無効であるという警告がクライアント ブラウザーに表示されます。

  • 証明書の有効期限が切れている場合、または共通名がドメイン名と一致しない場合は、キーを置き換え、発行者名を SSL-PROXY に変更することで、新しい証明書が生成されます。 DUMMY_CERT:SRVR 認証エラーのために生成されます。これにより、証明書が無効であるという警告がクライアント ブラウザーに表示されます。

ルート CA

公開キー基盤 (PKI) 階層では、ルート CA は信頼パスの最上位にあります。ルート CA は、サーバー証明書を信頼できる証明書として識別します。

信頼済み CA リスト

SSL フォワードプロキシーは、クライアントとサーバー間のデータの安全な伝送を保証します。セキュア接続を確立する前に、SSL フォワード・プロキシーは 認証局 (CA) 証明書を調べて、サーバー証明書の署名を検証します。このため、サーバーを効果的に認証するには、信頼できる CA 証明書の妥当なリストが必要です。

セッションの再開

SSL セッションとは、フル・ハンドシェークの実行時に作成されるパラメーターと暗号鍵のセットのことです。接続は、セッション内で発生する会話またはアクティブなデータ転送です。完全な SSL ハンドシェークとマスター鍵の生成の計算オーバーヘッドはかなりのものです。短時間のセッションでは、SSL ハンドシェークにかかる時間がデータ転送の時間より長くなることがあります。スループットを向上させながら、適切なレベルのセキュリティーを維持するために、SSL セッション再開は、セッションをキャッシングするメカニズムを提供し、事前マスター秘密鍵や合意された暗号などのセッション情報をクライアントとサーバーの両方でキャッシュできます。キャッシュされた情報は、セッション ID によって識別されます。その後の接続では、両者は、新しいプリマスター秘密鍵を作成するのではなく、セッションIDを使用して情報を取得することに合意します。セッション再開により、 ハンドシェイク プロセスが短縮され、SSL トランザクションが高速化されます。

SSL プロキシ ログ

SSL プロキシー・プロファイルでロギングが使用可能になっている場合、SSL プロキシーは 表 2 に示すメッセージを生成できます。

すべてのログには同様の情報が含まれています。メッセージ フィールドには、ログ生成の理由が含まれています。表 3 に示されている 3 つの接頭部のうちの 1 つは、メッセージのソースを識別します。その他のフィールドには、説明的なラベルが付けられています。