UmbrellaサービスのTLS 1.2をサポートするためのエンドポイントのアップグレード

はじめに

このドキュメントでは、TLS 1.2を必要とするUmbrellaサービス用のエンドポイントとアプリケーションを準備する方法について説明します。

TLS 1.2要件の概要

2020年3月31日の時点で、Transport Layer Security(TLS)1.0および1.1はUmbrellaサーバおよびサービスではサポートされなくなりました。Umbrellaで正しく機能するには、すべてのエンドポイントがTLS 1.2をサポートしている必要があります。

TLS 1.0/1.1サポートの更新

• AnyConnect、Umbrella Roaming Client、およびADコネクタを除き、Umbrellaは2020年3月にTLS 1.0/1.1のサポートを終了しました。
• バックエンドの依存関係により、特定のダッシュボードおよびAPIサービスは2021年1月27日までTLS 1.0/1.1接続を受け入れ続けました。この日付以降、これらのサービスはTLS 1.0/1.1接続を受け付けなくなります。
• ダッシュボードまたはAPIにアクセスできないデバイスは、TLS 1.2のサポートを確認する必要があります。

AnyConnectまたはRoamingクライアントデバイスの保護

Umbrella社は、TLS 1.2へのアップグレードを完了するため、期限を2021年1月27日まで延長しました。これ以上の拡張子はありません。2021年1月27日以降にTLS 1.2の要件を満たさないAnyConnectおよびRoamingクライアントデバイスは、Umbrellaからの保護を受けなくなります。

セキュアなWebゲートウェイのサポート

• Secure Gateway製品のTLS 1.0または1.1を使用するHTTPSトラフィックは、Umbrellaではサポートされません。
• 2021年1月27日より前は、Secure Web Gateway(SGW)は、HTTPS復号化が無効になっている場合にのみ、これらのプロトコルに対して限定的なサポートを提供していました。
• TLS 1.2をサポートするようにすべてのクライアントオペレーティングシステムを設定する。
• TLS 1.2の互換性を確保するために、必要に応じてブラウザ以外のアプリケーションをアップグレードまたは変更します。アプリケーションのベンダーに連絡して指示を受けてください。

Umbrella Active Directoryコネクタの要件

Umbrellaは、サポートが終了したWindowsオペレーティングシステムに導入されたActive Directoryコネクタをサポートしていません。サポートされていないWindowsバージョン（Windows Server 2008、2008 R2、またはWindows 7）で実行されているADコネクタは、2021年1月27日にUmbrellaとの同期を停止し、エラー状態になります。

Umbrellaエージェント：最小バージョン要件

Windows Roaming ClientまたはAnyConnectモジュール

• Cisco Umbrellaローミングクライアント：バージョン2.2.356以降
• Cisco AnyConnect with Umbrellaローミングモジュール：バージョン4.8.02042以降
• 古いクライアントバージョンを使用するには、Windowsレジストリの変更によりTLS 1.2を設定します（以下の手順を参照）。
• Microsoft .NET Framework:バージョン4.6.2以降、または.NET 3.5.1がインストールされたパッチ適用済のWindows 7
  （AnyConnectには.NET 4.x以降が必要）
• サポートされるWindowsバージョン：7、8、8.1、10

macOSローミングクライアントまたはAnyConnectモジュール

• Umbrella Roaming ClientまたはAnyConnectローミングモジュールの任意のバージョンがTLS 1.2をサポート
• サポートされるmacOSバージョン：10.9以降

その他のFAQ

期限までにエンドポイントが更新されない場合はどうなりますか。

TLS 1.2接続をネゴシエートできないエンドポイントは、ダッシュボード、インテリジェントプロキシサービス、ブロックページなどのUmbrellaシステムにアクセスできません。
AnyConnectでUmbrella Roamingモジュール、Umbrellaエンタープライズローミングクライアント、またはUmbrella ADコネクタを実行しているお客様は、Umbrellaサービスに接続できません。この結果、クライアントは設定とステータスをUmbrellaダッシュボードと同期できません。

既存のローミングクライアントは、次のサービスの開始時にアクティブ化を停止し、保護されないままになります。TLS 1.2をサポートしていない新しいクライアントはUmbrellaに登録できません。これらのクライアントはオープンに失敗します。DNSはローカルネットワークスタックを介して解決されますが、ローミングクライアントセキュリティサービスはアクティブになりません。

ブロックされたサイトにアクセスしようとしたデバイスや、インテリジェントプロキシ経由でルーティングされたデバイスは接続できません。ローミングクライアントを使用するデバイスは、Umbrella Webサイト、ブロックページ、またはプロキシサービスにアクセスできません。

レジストリキーは古いバージョンでも機能しますか。

はい。AnyConnectの場合はサポートされています。strongcryptoを優先するようにレジストリ編集を適用した後も、古いバージョンを引き続き使用します。上記の最小バージョンよりも前では、ローミングクライアントはTLS 1.2 strongcryptoを明示的に指定せずにHTTPS接続を開始していました。.NETがTLS 1.2をサポートしている場合、デフォルトで使用されます。レジストリキーは、.NETにstrongcryptoを使用するように強制し、新しいクライアントバージョンで更新をレプリケートします。最新リリースより古いスタンドアロンローミングクライアントはサポートされていません。

TLS 1.2のみをテストできますか？

はい。WindowsレジストリでTLS 1.0とTLS 1.1を無効にして、デバイスがTLS 1.2のみを使用して完全に動作することを検証します。

TLS 1.0および1.1を廃止する理由

TLS 1.0および1.1は古く、最新の暗号化アルゴリズムをサポートしていません。攻撃者によって悪用される可能性のある脆弱性が含まれています。Internet Engineering Task Force（IETF；インターネット技術特別調査委員会）では、両方のプロトコルを推奨していません。暗号化されたインターネットトラフィックの大部分は、10年以上前に導入されたTLS 1.2を使用します。

2020年3月31日が選択された理由は何ですか。

この期間、業界ではTLS 1.0と1.1を廃止する予定です。Google、Microsoft、Apple、およびMozillaはすべて、2020年3月の時点でブラウザがTLS 1.0および1.1をサポートしていないことを発表しました。

最新のデバイスを使用しているユーザに影響を与えることはありますか。

No.ほとんどのWebサイトはTLS 1.2をサポートしています。Qualys SSL Labsによると、Webサイトの95.2 %がTLS 1.2をサポートしています。この数は、2020年3月が近づくにつれて増加すると予想されます。少数のWebサイトは機能しませんが、ユーザ全体への影響は最小限です。最新のデバイスに正しいバージョンの.NET for Windowsマシンが含まれていることを確認します。

TLS 1.2のエンドポイントを更新した後、Umbrellaサポートを再び有効にするには、さらにアクションが必要ですか。

ほとんどの場合、それ以上の操作は必要ありません。クライアントは、セキュアなTLS 1.2プロトコルを使用してUmbrellaシステムとの通信を再確立します。AnyConnect用のUmbrellaエンタープライズローミングクライアントまたはUmbrellaローミングクライアントでは、クライアントソフトウェアのアップデート中にシステムがオフラインだった場合、復元に遅延が生じる可能性があります。サービスが完全に復元される前に、クライアントは更新をダウンロードする必要があります。

TLS 1.2のエンドポイントサポートを確認するにはどうすればよいですか。

• Windows Webブラウザのサポート

  • Umbrellaダッシュボードおよび関連Webサイトにアクセスします。
  • SSL Labs Browser Testを実行します。ProtocolsセクションのTLS 1.2の横に「Yes」が表示されていることを確認します。
    
    

• Windows .NET Frameworkのサポート

  • エンタープライズローミングクライアント、AnyConnectローミングモジュール、またはADコネクタに適用されます。
  • .NET 4.6.2以降では、ネイティブTLS 1.2がサポートされています。
  • 以前のバージョンでは、レジストリの編集(4.x)またはレジストリの編集と手動のホットフィックスパッチ(3.5)が必要でした。
  • この情報は、ADコネクタやRoaming Clientなど、.NET Frameworkで実行されているUmbrellaソフトウェアに適用されます。
  • Microsoftが提供する手順を実行して、オペレーティングシステムレベルでSSL、TLS 1.0、およびTLS 1.1を無効にします。
    blobid0.png
    
    

• Apple Macおよびその他のシステム

• SSLラボのブラウザテストを実行します。ProtocolsセクションのTLS 1.2の横に「Yes」が表示されていることを確認します。