SSLサーバ証明書ラボ@ただいま建設中

Webサイトの暗号化に利用される「SSLサーバ証明書」こちらについて、調べたことをまとめてます。

*

エックスサーバー、さくらインターネット、ロリポップの共用SSLのセキュリティレベルを比較してみる

      2015/10/11

こんばんわ。
TOMOROHです。

今回は、レンタルサーバで利用されているSSLサーバ証明書についてです。
利用しているサーバ

今回比較するのは
エックスサーバー

さくらのレンタルサーバ

ロリポップ!

の3つ。

正直共用サーバーの共用SSLは使っている人はほとんどいないと思うのですが、
比較することにより各サーバー提供企業の考え方というか方向性がわかります。

なので、SSLサーバー証明書のというか、SSLに関する設定についてみていきます。

なお、設定については
「QUALYS SSL LAB」の「SSL Server Test」を利用します。

1.サマリー

全体的な評価から。

エックスサーバー

xserver1
まず、Xserver(エックスサーバー)
エックスサーバーの場合、プロトコルサポートとキー長の問題で点数を下げています。

さくらのレンタルサーバ

sakura1
さくらインターネット
プロトコルサポートの評価を落としています。

ロリポップ!

lolipop1
LOLIPOP(ロリポップ)
点数では一番高いです。
プロトコルサポートがさくらインターネットより高いのは後ほど説明。

2.サポートしているプロトコル

暗号化通信で利用される通信プロトコルのサポート状況です。

エックスサーバー

xserver2
プロトコルに脆弱性が発見された「SSL 3」が有効となっています。
また、最新の「TLS 1.2」が無効となっているのも注意の評価が出ています。

さくらのレンタルサーバ

sakura2
「TLS 1.2」が無効となっています。
「SSL 3」は無効になっているので、「エックスサーバー」よりセキュリティレベルは高いですね。

ロリポップ!

lolipop2
ロリポップは、「SSL 3」が無効となっており、「TLS 1.2」が有効となっています。
セキュリティ的にはこれが標準でしょうね。

しかし、「SSL 3」が有効であるエックスサーバーはガラケーに対するサポートを考慮しているということも考えられます。
さくらインターネットセキュリティ優先といったところでしょうか。

3.暗号化のキー長

暗号化キー長に関する内容です。

エックスサーバー

xserver3

短いキー長をサポートしているためいくつか赤くなっています。

さくらのレンタルサーバ

sakura3
さくらインターネット
だいたいが、128bit以上になっていますね。
あまり問題ないとおもいます。

ロリポップ!

lolipop3
ロリポップ

4.暗号化にかかわるセキュリティやプロトコル

エックスサーバー

xserver4
エックスサーバー

さくらのレンタルサーバ

sakura4
さくらインターネット

ロリポップ!

lolipop4
ロリポップ

ここで、理解に苦しむのは
ロリポップ。
SSL 3を止めていますが、フォールバック機能が有効となっています。
エックスサーバーとさくらインターネットは、セキュリティ対策を理解した上で設定しているのがわかりますが、
ロリポップは理解できておらず、中途半端という評価を受けました。
ただ、タイミングでパッチを適用していないのかもしれませんが、1月には無効にするパッチが出てきたことを考えると、
なにか違う気がします。

総評

エックスサーバーはセキュリティとユーザーのレベルを考慮しバランスをとっている感じ。

さくらインターネットは、エックスサーバーに比べセキュリティに舵を振ってある状態。

ロリポップは、微妙
安いので、値段相応ということで。

というのが今回の結果でした。

なお、今回利用しているSSLサーバ証明書は
エックスサーバーとさくらインターネットは「RapidSSL」
ロリポップは「DigiCert」
のワイルドカードを利用しています。

ワイルドカードのSSLサーバ証明書はフィーチャーフォンでは正しく認識できないはず。

なので、auのフィーチャーフォンでは見れない事象が発生する気がするので、
そういった面から考えると、あっさりフィーチャーフォンからのアクセスをぶった切っている
さくらインターネットはさすがというかなんというか。

※SSL 3.0を無効にするとauの一部フィーチャーフォンが見れなくなるはず。
 携帯アップデートをすればよいのですが、利用者ユーザーにそれを求めるのは難しいですよね。
※エックスサーバーはグローバルIPを追加することによってフィーチャーフォンに対応することが
できるようなので、これで問題なしという判断になります。あくまで設定が共通である場合だけですが。

ということで、こういった対応から各社の対応状況がみれてなかなか面白かったです。
SSLサーバー証明書については、現在検索結果にあまり影響がないようです。ただ私のサイトは少し影響があった気もしますが
きっと気のせいですね。

エックスサーバー

さくらのレンタルサーバ

ロリポップ!

KDDIウェブ/株式会社KDDIウェブコミュニケーションズ

シマンテック(旧ベリサイン)の証明書とジオトラストの証明書がオトクに購入できる。
シマンテックの証明書が最大24%OFF
ジオトラストの証明書が最大54%OFF

他社からの切り替えだと最大1年分無料!

SSLボックス/ネットオウル株式会社

ドメイン認証タイプのSSLサーバー証明書を専門で販売している「SSLボックス」
格安SSLサーバ証明書の代表だった「RapidSSL」だけでなくcomodo社の新格安SSLサーバ証明書「CoreSSL」やサイトシール付の「SecureCore」

さらに3か月毎に更新が必要でも無料で利用できる「Let\'s Encrypt」も

エックスサーバー/エックスサーバー株式会社

アクセスが集中してもかなり強い。

結構頑張るレンタルサーバーです。
負荷に強いのでWebサイトとブログも同じサーバーで運営できる。
ということで、最近人気急上昇中のレンタルサーバーです。
レンタルサーバ
価格は、1,000円からということなので、
初めて使うレンタルサーバーというよりは、
アクセスが増えてきて乗り換えを考えている方向け。

無料SSLサーバ証明書「Let\\\\\\\'s Encript」の自動更新に対応したため、SSLサイトを持ちたい人にもおすすめののレンタルサーバー!

 - 比較