AWS SDK for C++ での最小 TLS バージョンの適用

libcurl のインストールがバージョン 7.34.0 以降であることを確認します。

AWS SDK for C++ のソースコードを GitHub からダウンロードします。

aws-cpp-sdk-core/source/http/curl/CurlHttpClient.cpp を開き、次のコード行を見つけます。

#if LIBCURL_VERSION_MAJOR >= 7
#if LIBCURL_VERSION_MINOR >= 34
curl_easy_setopt(connectionHandle, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1);
#endif //LIBCURL_VERSION_MINOR
#endif //LIBCURL_VERSION_MAJOR

必要に応じて、関数呼び出しの最後のパラメータを次のように変更します。

#if LIBCURL_VERSION_MAJOR >= 7
#if LIBCURL_VERSION_MINOR >= 34
curl_easy_setopt(connectionHandle, CURLOPT_SSLVERSION, CURL_SSLVERSION_TLSv1_2);
#endif //LIBCURL_VERSION_MINOR
#endif //LIBCURL_VERSION_MAJOR

前述のコード変更を行った場合は、https://github.com/aws/aws-sdk-cpp#building-the-sdk の手順に従って AWS SDK for C++ をビルドしてインストールします。

アプリケーションのサービスクライアントで、まだ有効になっていない場合は、クライアント設定で verifySSL を有効にします。

AWS SDK for C++ のソースコードを GitHub から ダウンロードします。

aws-cpp-sdk-core/source/http/windows/WinHttpSyncHttpClient.cpp を開き、次のコード行を見つけます。

#if defined(WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_3)
    DWORD flags = WINHTTP_FLAG_SECURE_PROTOCOL_TLS1 | WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_1 |
            WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_2 | WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_3;
#else
    DWORD flags = WINHTTP_FLAG_SECURE_PROTOCOL_TLS1 | WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_1 | WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_2;
#endif

if (!WinHttpSetOption(GetOpenHandle(), WINHTTP_OPTION_SECURE_PROTOCOLS, &flags, sizeof(flags)))
{
    AWS_LOGSTREAM_FATAL(GetLogTag(), "Failed setting secure crypto protocols with error code: " << GetLastError());
}

WINHTTP_FLAG_SECURE_PROTOCOL_TLS1_3 オプションフラグは、TLS 1.3 が現在のビルドシステムに存在する場合に定義されます。詳細については、Microsoft のウェブサイトで「WINHTTP_OPTION_SECURE_PROTOCOLS」および「TLS プロトコルバージョンのサポート」を参照してください。

次のいずれかを選択します。

前述のコード変更を行った場合は、https://github.com/aws/aws-sdk-cpp#building-the-sdk の手順に従って AWS SDK for C++ をビルドしてインストールします。

アプリケーションのサービスクライアントで、まだ有効になっていない場合は、クライアント設定で verifySSL を有効にします。

レジストリエディターを開き、Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols に移動します。

まだ存在しない場合は、TLS 1.0,、TLS 1.1、TLS 1.2 のサブキーを作成します。

各サブキーの下に、Client サブキーと Server サブキーを作成します。

次のキーと値を作成します。

 Key name                          Key type   Value
 --------                          ---------  -----
 TLS 1.0\Client\DisabledByDefault  DWORD      0
 TLS 1.1\Client\DisabledByDefault  DWORD      0
 TLS 1.2\Client\DisabledByDefault  DWORD      0
 TLS 1.0\Client\Enabled            DWORD      0
 TLS 1.1\Client\Enabled            DWORD      0
 TLS 1.2\Client\Enabled            DWORD      1

TLS 1.2\Client\Enabled だけが 1 に設定されているキーであることに注意してください。このキーを 1 に設定することで、TLS 1.2 のみが許容される安全なプロトコルとして適用されます。

レジストリエディターを開き、Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols に移動します。

まだ存在しない場合は、TLS 1.0,、TLS 1.1、TLS 1.2、TLS 1.3 のサブキーを作成します。

各サブキーの下に、Client サブキーと Server サブキーを作成します。

次のキーと値を作成します。

 Key name                          Key type   Value
 --------                          ---------  -----
 TLS 1.0\Client\DisabledByDefault  DWORD      0
 TLS 1.1\Client\DisabledByDefault  DWORD      0
 TLS 1.2\Client\DisabledByDefault  DWORD      0
 TLS 1.3\Client\DisabledByDefault  DWORD      0
 TLS 1.0\Client\Enabled            DWORD      0
 TLS 1.1\Client\Enabled            DWORD      0
 TLS 1.2\Client\Enabled            DWORD      0
 TLS 1.3\Client\Enabled            DWORD      1

TLS 1.3\Client\Enabled だけが 1 に設定されているキーであることに注意してください。このキーを 1 に設定することで、TLS 1.3 のみが許容される安全なプロトコルとして適用されます。