ESXi 8.0 U3 において、ポート 443 で CBC 暗号の無効化

Products

• VMware vSphere ESXi

Issue/Introduction

免責事項： これは英文の記事「Disable CBC ciphers on ESXi 8.0 U3 reported for port 443」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

• ESXi のポート 443 においてセキュリティ スキャンによる「脆弱なメッセージ認証コード暗号スイート」または「脆弱な暗号スイート」の検出をさせない。
• 暗号スイート TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA と TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA などを含む。
• VMware は現時点において、HMAC-SHA1 および CBC TLS 暗号スイートを業界標準に準拠しており、脆弱な暗号スイートとは認識しておりません。また、これらの脆弱な TLS 暗号スイートを無効化すると、エンタープライズ データセンター内の旧バージョン（レガシー）ソフトウェア製品との相互運用性に支障をきたす可能性があります。
• したがって、VMware はこれらの脆弱な TLS 暗号スイートの無効化を推奨しておりません。ただし、セキュリティポリシーに準拠するために別の TLS 暗号スイートを設定したい場合には、その構成をサポートいたします。
• 以下は、ESXi 8.0 U3 のスキャンレポートのスクリーンショットです。

Environment

VMware vSphere ESXi 8.0 U3

Resolution

CBC 暗号を無効するには、TLS プロファイルを NIST_2024 または MANUAL に設定し、暗号リストを "ECDHE+AESGCM" とします。

• 回避策 1:
  • ESXi に SSH で接続します。
  • 以下のコマンドを実行して、TLS プロファイルを NIST_2024 に設定します:

    • esxcli system tls server set -p NIST_2024

  • ホストを再起動します。

 

• 回避策 2:
  
  • ESXi に SSH で接続します。
  • 以下のコマンドを実行して、TLS プロファイルを MANUAL に設定します:

    • esxcli system tls server set -p MANUAL

  • 以下のコマンドを実行して、暗号リストを "ECDHE+AESGCM" に設定します：

    • esxcli system tls server set --cipher-list=ECDHE+AESGCM

  • ホストを再起動します。

Additional Information

• 詳細につきましてはvSphere Security をご参照ください。
• ESXi 8.0, 8.0 U1 と 8.0 U2 は Disable weak ciphers on Esxi 8.0, 8.0 U1 and 8.0 U2をご参照ください。