TLS 1.0 を理由として、MDM サーバーの脆弱性を無視する

問題

MCM 2.1 へのバージョンでは、MDM サーバーの脆弱性スキャンによって、MDM サーバーが TLS 1.0 および TLS 1.1を使った接続を受け入れていることを原因とした、侵害が明らかになる。

原因

この脆弱性の露出は、ポート 5671 に限定されます。MCM 2.1 までは、ポート 5671 は内部通信に TLS 1.0 を使用します。

TLS 1.0 による暗号化は、セキュリティ上の問題により、2021 年 3 月に正式に廃止されました。TLS 1.0 を使用しているウェブサイトは、2018 年 6 月30 日以降、PCI に準拠していないものとみなされています。PCI データ・セキュリティ基準 (PCI DSS) では、TLS 1.0 はウェブサイトを行き来する機密情報を保護するのに十分な強度を持っているとはみなされていません。

そのため、脆弱性スキャンでは、この脆弱性が検出されます。

これはポート 443 または 8443 には影響しません。これらのポートを介した通信では、TLS V1.2 以降の使用が強制されているからです。

解決策

TLS 1.0 の使用に関する脆弱性アラートは、無視しても問題ありません。

この脆弱性は、RabbitMQ と MDM プラグイン間の内部通信にのみ使用される、ポート 5671 にだけ影響を及ぼすからです。このポートは、インターネットに露出していません。この接続は、クライアント/サーバー証明書によって制御されるため、特定のクライアント/サーバー証明書を持つ MDM プラグインのみが内部通信のための接続を確立できます。適切なクライアント証明書がないと、内部通信であっても、接続を確立することができません。

TLS V1.2 以降はすべてのポートを介した通信が強制されており、内部通信でも TLS 要件を完全に満たすため、MCM 2.1 以降のバージョンでは、これは問題とはなりません。