| Server Management |
| 新FileMaker関連アップデート「FileMaker セキュリティ更新」v.13.0.9の注意（重要） 04/07/2015 06:55:11 |
 4/8に発表された、FileMakerおよびFileMaker Serverのアップデート13.0.9シリーズに関しては、サイト上でも記載されている通り、非常に対応が難しいアップデートだ。しかし、これはセキュリティの要である、SSL暗号化データのやりとりに伴う脆弱性への対応であり、安易に適用を引き延ばすことも難しい。 そもそも、何故暗号化されているはずのデータが読み取られてしまうのか、という疑問であるが、おおまかな流れとして、みなさんお使いのブラウザでのアクセスを例に、下記のようなものになる。 １）あるサイトにブラウザでアクセスした際、「この Web サイトで提示されたセキュリティ証明書は、信頼された証明機関から発行されたものではありません」と表示される。 ２）上記警告に反して、サイトの閲覧を続行する。 ３）サーバーとクライアント間でデータをやりとりしている中継点で、悪意ある第三者が自分の証明書に置き換えてデータを中継する。正規の証明機関発効の証明書であればこの時点でアラートが出るのだが、前のステップで警告を無視したため、この中継は続行される。 ４）利用者は、そのまま第三者の証明書で暗号化されたデータをやりとりする。 ５）悪意ある第三者は、中継点で受け取ったデータを自分の証明書で解読できるようになる。 さらにかいつまんで言うと、玄関の鍵を泥棒でも開けられるような鍵に掛け替えられていても、気づかずにそのまま生活を続ける間に、泥棒が自由に盗みを行っている状況、といったことになるだろうか。 実は、FileMaker Serverでは、正規の認証機関発行ではない証明書がデフォルトでインストールされていて、それを使って暗号化データをやりとりしている。しかし、その状態は、上記１）の状態と同様であり、第三者が勝手に鍵を掛け替えていても気づかずにデータをやりとりしてしまう危険性がある。   今回のアップデートでは、「互換性のない証明書（13.0.5以下のバージョン）」と「互換性のある証明書（13.0.9以上のバージョン）」同士の通信を禁止している。しかしそれは決して安全な暗号化通信が行えるということではなく、あくまでも暫定的なテスト用であることを強調している。 ここで、非常に重要な問題点としては、 ・サーバーとクライアントのどちらかしかアップデートしていない状態 ・「保護された接続が必要」がオンになっている ・正規の証明書がインストールされていない という環境では、FileMaker Serverにアクセスできなくなる問題が発生する点だ。 この問題を回避するには、 ・すべてのFileMaker、FileMaker Serverを一斉にバージョンアップする ・「保護された接続が必要」をオフにする ・正規の証明書をインストール*する のどれかを対応することで、アクセス自体は可能になる。繰り返すが、FileMaker社では、今回のアップデートでの暗号化通信対応はあくまでもテスト運用のため、とし、安全な暗号化通信のためには、サポートされているサードパーティ製のカスタム証明書のインストールが必要とアナウンスしている。実際に運用した際、WebDirectでも下図のような警告が表示されるようになった。 （*注：FileMaker Server 13の証明書インストールはfmsadminコマンドによる操作が必要で、FileMaker ServerとSSL認証ファイルのインストールに精通した開発者以外は対応が難しい。）  FileMakerクライアント台数が多かったり、使用拠点が複数に分かれているようなケースでは、このアップデートは非常に大がかりな作業になるため、一旦オペレーションを停止しての計画的な作業になるだろう。十分に留意して対応したい。 なお、本件はFileMaker Serverを通して暗号化通信を行う上での脆弱性が課題であり、イントラネット、VPN等で、現在、暗号化通信を行っていない環境（下図「保護された接続が必要」のチェックボックスがオフの場合）であれば、適用については急務ではない。  （FileMaker Server 12-13のSSL証明書インストールサポートについては、株式会社マジェスティックまでお問い合わせください。） |
| Comments |