(Translated by https://www.hiragana.jp/)
Server Name Indication - Wikipedia コンテンツにスキップ

Server Name Indication

出典しゅってん: フリー百科ひゃっか事典じてん『ウィキペディア（Wikipedia）』

Server Name Indication（SNI、サーバー ネーム インディケーション、サーバ名めい表示ひょうじ）は、SSL/TLSの拡張かくちょう仕様しようの一ひとつである。SSLハンドシェイク時じにクライアントがアクセスしたいホスト名めいを伝つたえることで、サーバ側がわがグローバルIPごとではなくホスト名めいによって異ことなる証明しょうめい書しょを使つかい分わけることを可能かのうにする。

SNIは特とくに、HTTP 1.1の名前なまえベースバーチャルホストをHTTPSに対応たいおうさせるために使つかわれる。SNIを機能きのうさせるには、Webサーバ側がわとブラウザ側がわ両面りょうめんの対応たいおうが必要ひつようである。SNIを実装じっそうしないブラウザでは全すべてのホスト名めいで同おなじサーバ証明しょうめい書しょが使つかわれるため、警告けいこくが表示ひょうじされることがある。2016年ねん時点じてんでPC・モバイルの主要しゅようなブラウザで問題もんだいなく利用りようできる状況じょうきょうである。

問題もんだいの背景はいけい[編集へんしゅう]

SSL/TLS接続せつぞくのはじめに、クライアントはSSL/TLSのサーバから（サーバとCAの）証明しょうめい書しょを受うけ取とり、証明しょうめい書しょの改かいざんされていないことなどを確認かくにんする。サーバ証明しょうめい書しょにはホスト名めいが書かかれており、それが今こん接続せつぞくしようとしているホスト名めいと一致いっちすることをクライアントは確認かくにんする。そうでない場合ばあい、なりすましや中ちゅう間あいだ者しゃ攻撃こうげきの恐おそれがあるため、クライアントはユーザに警告けいこくをする。ユーザの責任せきにんで証明しょうめい書しょを信用しんようし、警告けいこくを迂回うかいすることができるアプリケーションも存在そんざいする。

HTTPの場合ばあい、名前なまえベースバーチャルホストを使つかうと、複数ふくすうのホスト名めい（同一どういつのドメインであれ、異ことなるドメインであれ）を単一たんいつのサーバと単一たんいつのグローバルIPで運用うんようできる。これは、ブラウザ側がわがHTTPヘッダによって希望きぼうのホスト名めいを指定していすることで働はたらく。しかし、HTTPSの場合ばあい、HTTP要求ようきゅうをやりとりする前まえにSSL/TLSハンドシェイクを行おこなう必要ひつようがある。このため、ブラウザがどのホストを訪問ほうもんするかを、ハンドシェイク時点じてんでサーバ側がわには予測よそくできず、HTTPヘッダのホスト名めいによって複ふく数すう枚まいのサーバ証明しょうめい書しょを使つかい分わけることができない。したがって、単一たんいつのサーバで複ふく数すう枚まいのサーバ証明しょうめい書しょを使つかい分わけるには名前なまえベースバーチャルホストは利用りようできず、ホスト名めいごとに異ことなるグローバルIPを使つかう必要ひつようがあった（IPベースバーチャルホスト）。

この問題もんだいへの対処たいしょ方法ほうほうとして、1枚まいのサーバ証明しょうめい書しょに複数ふくすうのホスト名めいを指定していする手段しゅだんが知しられていた。X.509 v3の証明しょうめい書しょで導入どうにゅうされたsubjectAltName拡張かくちょうを利用りようすることで、追加ついかのホスト名めいを指定していできる。通常つうじょう、主体しゅたい者しゃのCommon Name属性ぞくせい同様どうよう、こちらでもワイルドカードを使つかえる。しかし、実じつ運用うんようにおいてサーバの運用うんようする全すべてのホスト名めいを予あらかじめCSRに含ふくめておくことは現実げんじつ的てきではなく、ホスト（ワイルドカードの場合ばあい、ドメイン）名めいが増ふえるたびに別々べつべつにサーバ証明しょうめい書しょを導入どうにゅうすることが多おおい。2005年ねんから、CAcertはTLSをバーチャルホスト下かで使つかう方法ほうほうについて様々さまざまな実験じっけんを行おこなった[1]が、多おおくは非ひ実用じつよう的てきなものだった。例たとえば、subjectAltName拡張かくちょうを使つかって運用うんようする全ぜんドメインのホスト名めいを1枚まいのサーバ証明しょうめい書しょに集約しゅうやくし、ドメインが増ふえたりドメイン名めいが変かわったりするごとに取得しゅとくしなおすという方法ほうほう[2]が提案ていあんされた。

これらの事情じじょうによって、複数ふくすうのサーバ証明しょうめい書しょを使つかい分わけたいサーバは、単数たんすうまたは少数しょうすうのホスト名めいをIP別べつに運用うんようすることが要求ようきゅうされる。ホスト（ワイルドカードの場合ばあい、ドメイン）名なごとに別べつのグローバルIPを取得しゅとくすることはコストがかかる（IPアドレス枯渇こかつ問題もんだい）ため、多おおくのWebサイトにはHTTPS通信つうしんの利用りようはハードルが高たかかった。

SNIによる解決かいけつ[編集へんしゅう]

Server Name Indication（SNI）では、TLSに拡張かくちょうを加くわえることでこの問題もんだいに対処たいしょする。TLSのハンドシェイク手続てつづきで、HTTPSクライアントが希望きぼうするドメイン名めいを伝つたえる（この部分ぶぶんは平文へいぶんとなる）[3]。それによってサーバが対応たいおうするドメイン名めいを記しるした証明しょうめい書しょを使つかうことが可能かのうになる。サーバとクライアントが共ともにSNIに対応たいおうしていれば、一ひとつのIPで複数ふくすうのドメインにHTTPSサーバを提供ていきょうすることが可能かのうになる。

SNIは2003年ねん6月がつ、RFC 3546「TLS拡張かくちょう仕様しよう」に加くわわった。その後ご更新こうしんされ、2014年ねん1月がつ現在げんざい、SNIの記述きじゅつのある最新さいしんの仕様しようはRFC 6066 (日本語にほんご訳やく) である。

SNIの暗号あんごう化か[編集へんしゅう]

SNIも暗号あんごう化かする方法ほうほうが検討けんとうされている。当初とうしょ、Encrypted SNI (ESNI)が検討けんとうされていたものの、その後ごEncrypted Client Hello (ECH)が考案こうあんされ、標準ひょうじゅん化かに向むけた検討けんとうが進すすめられている[4]。

対応たいおう状じょう況きょう[編集へんしゅう]

SNIに対応たいおうするには、アプリケーションの使つかうSSLライブラリがホスト名めいを受うけ取とる仕組しくみが必要ひつようである。OSの機能きのうを利用りようしてSSL通信つうしんを行おこなうアプリケーションでは、OSのSSL機能きのうがSNIをサポートしない場合ばあいはSNIを使つかうことはできない。2011年ねんの時点じてんでほとんどのブラウザやSSLライブラリはSNIを実装じっそうしたが、ユーザの使つかうOSとの組くみ合あわせによってはSNIを利用りようできない場合ばあいがしばしばある。

対応たいおうソフト[編集へんしゅう]

2004年ねんに、OpenSSLでTLS/SNIをサポートするパッチがEdelKeyプロジェクトによって作成さくせいされた[5]。このパッチは2006年ねん開発かいはつブランチに取とり込こまれ、2007年ねんにOpenSSL 0.9.8にポートされた。

TLS/SNIをサポートするブラウザ[6]
Webサーバ
ライブラリ
  • Mozilla NSS 3.11.1[28] client-side only
  • OpenSSL
    • 0.9.8f (released 11 Oct 2007) - '--enable-tlsext' オプションを明示めいじ的てきに指定していする必要ひつようがある
    • 0.9.8j (released 07 Jan 2009) through 1.0.0 (released 29 March 2010) - デフォルトで対応たいおう
  • GnuTLS[29]
  • wolfSSL (デフォルトでは無効むこうだが '--enable-sni' or '--enable-tlsx' オプションにより利用りよう可能かのう)[30]
  • PolarSSL（英語えいご版ばん） 1.2.0およびそれ以降いこう (デフォルトで有効ゆうこう)
  • libcurl / cURL 7.18.1 (30 Mar 2008)
  • Python 3.2 (ssl, urllib[2] and httplib モジュール) [31]
  • Qt 4.8[32]
  • Oracle Java 7 JSSE [33]
  • Apache HttpComponents 4.3.2 [34]
  • wget 1.14[35] (1.14以前いぜんはパッチによる[36]
  • Android 2.3 (Gingerbread) (ただし部分ぶぶん的てき、HttpsURLConnection クラスを使つかった場合ばあいに限かぎり対応たいおう)[37]
  • Android 3.0 (Honeycomb) [38]
  • IO::Socket::SSL (Perl/CPANモジュール, 1.83以降いこう[39])
  • Pike 7.9.5 (SSL module) [40]

非ひ対応たいおうソフト[編集へんしゅう]

以下いかの組くみ合あわせのソフトウェアはSNIに対応たいおうしていない。

クライアント
  • Internet Explorer 6 もしくはWindows XP以前いぜんでの全ぜんバージョン
  • Safari （Windows XP上うえ)
  • BlackBerry ブラウザ (7.1またはそれ以前いぜん)
  • Windows Mobile 6.5[41]
  • Android 2.x のブラウザ[42] (Honeycomb for tablets と Ice Cream Sandwich for phones では対応たいおう)
  • wget 1.14未満みまん (パッチによって対応たいおう可か)
サーバ
ライブラリ
  • Qt 4.7[32]
  • Mozilla Network Security Services server side [43]
  • Java 1.6 およびそれ以前いぜん [33]
  • Apache HttpComponents 4.3.1 およびそれ以前いぜん [34]
  • Python 2.x (ssl, urllib[2], httplib モジュール) [31]
  • PhantomJS 1.x

脚注きゃくちゅう[編集へんしゅう]

  1. ^ “CAcert VHostTaskForce”. CAcert Wiki. 2012年ねん8月がつ26日にち閲覧えつらん。
  2. ^ “What is a Multiple Domain (UCC) SSL Certificate?”. 2012年ねん8月がつ26日にち閲覧えつらん。
  3. ^ “TLS Server Name Indication”. Paul's Journal. 2012年ねん8月がつ26日にち閲覧えつらん。
  4. ^ Patton, Christopher (2020年ねん12月8日にち). “Good-bye ESNI, hello ECH!”. 2022年ねん8月がつ6日にち閲覧えつらん。
  5. ^ “EdelKey Project”. 2012年ねん8月がつ26日にち閲覧えつらん。
  6. ^ Brand, Kaspar (2009年ねん3月がつ29日にち). “TLS SNI Test Site”. 2012年ねん8月がつ26日にち閲覧えつらん。
  7. ^ “Understanding Certificate Name Mismatches” (2009年ねん12月7日にち). 2013年ねん7月がつ8日にち閲覧えつらん。
  8. ^ Opera (2005年ねん2月がつ25日にち). “Changelog for Opera [8] Beta 2 for Windows” (via Archive.org). Opera Changelogs for Windows. Opera.com. 2005年ねん11月23日にち時点じてんのオリジナルよりアーカイブ。2013年ねん7月がつ19日にち閲覧えつらん。 “Readded experimental support for TLS Extensions and TLS 1.1. Setting is disabled by default.”
  9. ^ “Google Chrome, Issue 43142, Use SSLClientSocketNSS on Windows by default” (2010-10-29 - Although many report Chrome 8 does not work with SNI on XP and Win7). 2012年ねん8月がつ26日にち閲覧えつらん。
  10. ^ Kehrer, Paul. “SNI in iOS 4.0”. 2010年ねん11月22日にち閲覧えつらん。
  11. ^ “Bug 122433: Server Name Identification support”. Bugs.kde.org. 2011年ねん7月がつ18日にち閲覧えつらん。
  12. ^ “Issue 12908 - android Https - websites that support Server Name Indication (SNI) don't work”. code.google.com. 2011年ねん8月がつ23日にち閲覧えつらん。
  13. ^ “Bug 34607: Support for Server Name Indication”. Apache Software Foundation. 2012年ねん8月がつ26日にち閲覧えつらん。
  14. ^ “Revision 776281: adding support for Server Name Indication to the Apache 2.2.x branch”. Apache Software Foundation. 2012年ねん8月がつ26日にち閲覧えつらん。
  15. ^ “CHANGES: Server Name Indication support is listed under the changes for Apache 2.2.12”. Apache Software Foundation. 2012年ねん8月がつ26日にち閲覧えつらん。
  16. ^ Notaras, George (2007年ねん8月がつ10日とおか). “SSL-enabled Name-based Apache Virtual Hosts with mod_gnutls”. 2012年ねん8月がつ26日にち閲覧えつらん。
  17. ^ “1.4.24 - now with TLS SNI and money back guarantee”. Blog.lighttpd.net. 2011年ねん3月がつ8日にち閲覧えつらん。
  18. ^ “#386 (TLS servername extension (SNI) for namebased TLS-vhosts)”. Trac.lighttpd.net. 2011年ねん3月がつ8日にち閲覧えつらん。
  19. ^ “sol13452: Configuring a virtual server to serve multiple HTTPS sites using TLS Server Name Indication (SNI) feature”. ask.f5.com. 2012年ねん3月がつ26日にち閲覧えつらん。
  20. ^ “IBM HTTP Server SSL Questions and Answers”. Publib.boulder.ibm.com. 2011年ねん3月がつ8日にち閲覧えつらん。
  21. ^ “IHS 8 powered by Apache 2.2.x ?”. Publib.boulder.ibm.com. 2011年ねん3月がつ8日にち閲覧えつらん。
  22. ^ “Apsis Gmbh”. apsis.ch. 2011年ねん8月がつ18日にち閲覧えつらん。
  23. ^ “What’s New in IIS 8”. weblogs.asp.net. 2012年ねん4月がつ1日にち閲覧えつらん。
  24. ^ “Open Source PageKite”. PageKite.net. 2012年ねん4月がつ18日にち閲覧えつらん。
  25. ^ “SSL/TLS back-ends, endpoints and SNI”. PageKite.net. 2012年ねん4月がつ18日にち閲覧えつらん。
  26. ^ “Configuring an SSL Virtual Server for Secure Hosting of Multiple Sites”. Citrix. 2012年ねん7月がつ5日にち閲覧えつらん。
  27. ^ “Introducing AlteonOS 28.1! - Knowledge Base - Radware”. kb.radware.com. 2012年ねん8月がつ20日はつか閲覧えつらん。
  28. ^ “NSS 3.11.1 Release Notes”. Mozilla.org. 2011年ねん3月がつ8日にち閲覧えつらん。
  29. ^ “TLS Extensions”. Gnu.org (2010年ねん8月がつ1日にち). 2011年ねん3月がつ8日にち閲覧えつらん。
  30. ^ “Using Server Name Indication (SNI) with CyaSSL”. wolfSSL.com (2013年ねん5月がつ24日にち). 2013年ねん11月25日にち閲覧えつらん。
  31. ^ a b “Support TLS SNI extension in ssl module”. Bugs.python.org. 2011年ねん3月がつ8日にち閲覧えつらん。
  32. ^ a b “QTBUG-1352. It would be useful if QSslSocket supports TLS extensions such as Server Name Indication as per RFC 3546.”. Qt Bug Tracker. 2011年ねん4月がつ15日にち閲覧えつらん。
  33. ^ a b “Java SE 7 Release Security Enhancements”. download.oracle.com. 2012年ねん12月12日にち閲覧えつらん。
  34. ^ a b “HttpComponents HttpClient 4.3.2 Released”. 2014年ねん1月がつ25日にち閲覧えつらん。
  35. ^ “News: GNU wget 1.14 released”. GNU Wget (2012年ねん10月がつ19日にち). 2013年ねん7月がつ19日にち閲覧えつらん。
  36. ^ “Bugs: bug #26786, TLS SNI support”. GNU Wget (2010年ねん10月がつ29日にち). 2012年ねん8月がつ26日にち閲覧えつらん。
  37. ^ “Android’s HTTP Clients”. Google. 2012年ねん8月がつ3日にち閲覧えつらん。
  38. ^ “Issue 12908: Https websites that support Server Name Indication (SNI) don't work”. Google. 2012年ねん8月がつ3日にち閲覧えつらん。
  39. ^ “IO::Socket::SSL Changes file mentions introduction of SNI”. 2013年ねん7月がつ19日にち閲覧えつらん。
  40. ^ “Pike's SSL module”. 2013年ねん8月がつ30日にち閲覧えつらん。
  41. ^ “Understanding Certificate Name Mismatches”. Blogs.msdn.com. 2011年ねん3月がつ8日にち閲覧えつらん。
  42. ^ “Android issue 1290 - Https websites that support Server Name Indication (SNI) don't work”. Code.google.com (2010年ねん12月1日にち). 2011年ねん12月13日にち閲覧えつらん。
  43. ^ “NSS Roadmap (as of 11 September 2009)”. Wiki.mozilla.org. 2011年ねん3月がつ8日にち閲覧えつらん。

関連かんれん項目こうもく[編集へんしゅう]

外部がいぶリンク[編集へんしゅう]

プロトコル
技術ぎじゅつ
歴史れきし
実装じっそう
公証こうしょう
脆弱ぜいじゃく性せい
理論りろん
暗号あんごう
プロトコル
実装じっそう
「https://ja.wikipedia.org/w/index.php?title=Server_Name_Indication&oldid=97693365」から取得しゅとく