Partager via

Exchange 2010/2013 における SHA2 証明書の利用について

  • Article

* 2015 年 7 月 15 日 Exchange 2007 についても追記し、本投稿を更新しました。
* 2016 年 6 月 23 日 Exchange 2013 における自己署名証明書の SHA2 対応について更新しました。

こんにちは。Exchange サポート チームの竹本です。

現在、様々なベンダー様において SHA1 証明書の利用/発行の停止、並びに SHA2 証明書への切り替えが順次進められておりますが、今回は Exchange サーバーにおけるそれぞれの証明書の扱いについてご紹介します。
前提となる SHA1 証明書の概要と Microsoft が予定している措置につきましては、まず以下をご参照ください。

Title : [IT 管理者向け] SHA-1 からの移行を推奨しています
URL : https://blogs.technet.com/b/jpsecurity/archive/2014/10/15/sha1-migration.aspx

Q1. Exchange 2007/2010/2013 において SHA2 証明書は正式にサポートされますか？
==============================================================================
はい。サポートされます。

Q2. Exchange 2007/2010/2013 において SHA2 の自己署名証明書を発行し利用する方法はありますか？
==============================================================================
Exchange 2013 CU13 (ならびに Exchange 2016 CU2) 以降のリリースであれば、New-ExchangeCertificate を使用して　SHA2 の自己署名証明書を作成することが可能です。(特別なオプションは必要ありません。これらのリリースでは当該コマンドの既定の動作が SHA2 証明書を生成するよう変更されております。)
また Exchange 2007/2010 においては現時点で方法はなく、対応の予定もありません。
なお、今後、多くの証明機関では Exchange サーバーが作成した SHA1 のリクエストに対して、SHA2 の証明書を発行するようになることが想定されますが、こうして作成された SHA2 証明書を Exchange サーバーでご利用いただくこと自体は、サポート上も問題ありません。

Q3. Exchange 2010/2013 において SHA1 証明書を使い続けることによるリスクはなにかありますか？
==============================================================================
Exchange サーバーに特化した形でのリスク (Exchange サーバーを使用している場合にのみ生じるリスク) といったものはありません。
SHA1 / SHA2 は署名アルゴリズムを示し、それぞれで使用されるハッシュ値の長さに差異があります。そのため、Exchange サーバーで利用される場合においても一般的な観点と同様に、SHA2 と比較した場合には、SHA1 の方が暗号化の強度が低いといったリスクはあります。データ改ざんの影響を受ける可能性のある機能としては HTTPS 通信を使用する各種機能 (Outlook Anywhere, OWA, EWS, Autodiscover, Exchange ActiveSync 等) となります。

また、冒頭の Blog にも記載がありますが、これらのリスクに対し Microsoft が予定している措置といたしまして、2017年 1月1日以降、SHA1 証明書を Windows 端末で利用できないようにする予定があります。そのため、Exchange サーバーにおいても SHA1 の証明書を使い続けた場合には、上述した機能が利用できない (Outlook や IE にて SSL 通信を確立できなくなる) といった影響が発生します。
なお、ご注意いただくべき点として、この措置ではルート証明書更新プログラムに参加しているルート証明機関が発行した証明書のみが対象となります。 そのため、例えば社内で利用しているプライベートルート証明機関 (例: Windows Server で証明書サービスをインストールして独自に構築しているルート証明機関など) が発行した証明書や、Exchange サーバーが自身で発行した自己署名証明書は、この措置の対象ではなく、2017年以降も継続して SHA1 の証明書を使用した SSL 通信を使用し続けることが可能です。
今回は以上となりますが、Exchange サーバーをご利用いただいている皆様において、少しでも参考になりましたら幸いです。
今後も当ブログおよびサポート チームをよろしくお願いいたします。