PythonにおけるTLSバージョンの確認方法
PythonでTLS（Transport Layer Security）のバージョンを確認する方法は、主に標準ライブラリである`ssl`モジュールと、より高レベルな`requests`ライブラリを使用する二つのアプローチがあります。
sslモジュールを使用したTLSバージョンの確認
`ssl`モジュールは、PythonでTLS/SSL通信を扱うための低レベルなインターフェースを提供します。このモジュールを使用すると、特定のホストとポートに対してTLS接続を確立し、その際のプロトコルのバージョンを確認することができます。
基本的な接続とバージョン取得
TLS接続を確立するには、まず`ssl.create_default_context()`を使用してSSLコンテキストを作成します。このコンテキストは、デフォルトの証明書検証設定などを保持します。次に、`socket`モジュールを使用してTCP接続を確立し、そのソケットオブジェクトを`ssl.wrap_socket()`関数に渡してSSL/TLSでラップします。
コード例：sslモジュールでの接続とバージョン確認
“`python
import socket
import ssl
def check_tls_version_ssl(host, port=443):
“””
sslモジュールを使用して指定されたホストのTLSバージョンを確認します。
“””
context = ssl.create_default_context()
try:
with socket.create_connection((host, port)) as sock:
with context.wrap_socket(sock, server_hostname=host) as ssock:
# ssock.version()は、確立されたTLS/SSLプロトコルのバージョンを返します。
# 例: ‘TLSv1.2’, ‘TLSv1.3’
tls_version = ssock.version()
print(f”ホスト: {host}, ポート: {port}”)
print(f”TLSバージョン: {tls_version}”)
return tls_version
except ssl.SSLError as e:
print(f”SSLエラーが発生しました: {e}”)
return None
except socket.gaierror as e:
print(f”ホスト名解決エラー: {e}”)
return None
except ConnectionRefusedError:
print(f”接続が拒否されました ({host}:{port})”)
return None
except Exception as e:
print(f”予期せぬエラー: {e}”)
return None
# 使用例
# check_tls_version_ssl(“www.google.com”)
# check_tls_version_ssl(“www.example.com”)
“`
このコードでは、`ssock.version()`メソッドが、実際に確立されたTLS/SSLプロトコルのバージョン文字列（例: `’TLSv1.2’`、`’TLSv1.3’`）を返します。
TLSバージョンの指定とハンドシェイク
`ssl`モジュールでは、接続時に使用するTLSバージョンを明示的に指定することも可能です。これは、特定のバージョンのみを許可したい場合や、古いバージョンのサポート状況を確認したい場合に役立ちます。`ssl.create_default_context()`の代わりに、`ssl.SSLContext()`をインスタンス化し、`minimum_version`や`maximum_version`などの属性を設定することで、許容されるTLSバージョンの範囲を定義できます。
コード例：TLSバージョンの指定
“`python
import socket
import ssl
def check_tls_version_with_specific_version(host, port=443, min_version=ssl.TLSVersion.TLSv1_2, max_version=ssl.TLSVersion.TLSv1_3):
“””
指定されたTLSバージョンの範囲で接続を試み、成功すればそのバージョンを確認します。
“””
context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT) # クライアントとしてTLSプロトコルを指定
context.minimum_version = min_version
context.maximum_version = max_version
context.check_hostname = True # ホスト名の検証を有効にする
context.load_default_certs() # デフォルトのCA証明書をロード
try:
with socket.create_connection((host, port)) as sock:
with context.wrap_socket(sock, server_hostname=host) as ssock:
tls_version = ssock.version()
print(f”ホスト: {host}, ポート: {port}”)
print(f”指定範囲 ({min_version.name}-{max_version.name}) で接続成功。”)
print(f”実際に使用されたTLSバージョン: {tls_version}”)
return tls_version
except ssl.SSLError as e:
print(f”SSLエラー: {e}”)
print(f”指定されたTLSバージョンの範囲 ({min_version.name}-{max_version.name}) では接続できませんでした。”)
return None
except Exception as e:
print(f”予期せぬエラー: {e}”)
return None
# 使用例：TLSv1.2 のみで接続を試みる
# print(“nTLSv1.2のみで試行:”)
# check_tls_version_with_specific_version(“www.google.com”, min_version=ssl.TLSVersion.TLSv1_2, max_version=ssl.TLSVersion.TLSv1_2)
# 使用例：TLSv1.3 のみで接続を試みる
# print(“nTLSv1.3のみで試行:”)
# check_tls_version_with_specific_version(“www.google.com”, min_version=ssl.TLSVersion.TLSv1_3, max_version=ssl.TLSVersion.TLSv1_3)
“`
`ssl.TLSVersion` enum を使用することで、TLSv1.0、TLSv1.1、TLSv1.2、TLSv1.3 といったバージョンを明示的に指定できます。
requestsライブラリを使用したTLSバージョンの確認
`requests`ライブラリは、HTTPリクエストを簡単に行える高レベルなライブラリです。`requests`は内部で`urllib3`を使用しており、`urllib3`はさらに`ssl`モジュールを利用してTLS接続を確立しています。`requests`自体が直接TLSバージョンを公開するメソッドを持っているわけではありませんが、`urllib3`の`PoolManager`をカスタマイズすることで、間接的にTLSバージョンに関連する情報を取得したり、接続時のTLSバージョンを制御したりすることが可能です。
requestsとurllib3の連携
`requests`ライブラリのHTTPアダプターをカスタマイズすることで、`urllib3`の挙動を制御できます。`urllib3.poolmanager.PoolManager`の`connection_pool_kw`引数に`ssl_version`を指定することで、TLSハンドシェイク時に使用するプロトコルバージョンを制限できます。
コード例：requestsとurllib3でTLSバージョンを限定
“`python
import requests
import urllib3
import ssl
# urllib3のPoolManagerでTLSバージョンを指定するカスタムアダプターを作成
class TLSAdapter(requests.adapters.HTTPAdapter):
def __init__(self, ssl_version=None, **kwargs):
self.ssl_version = ssl_version
super().__init__(**kwargs)
def init_poolmanager(self, connections, maxsize, block=False):
self.poolmanager = urllib3.PoolManager(
num_pools=connections,
maxsize=maxsize,
block=block,
ssl_version=self.ssl_version # ここでTLSバージョンを指定
)
def check_tls_version_requests(url, allowed_ssl_version=ssl.PROTOCOL_TLS):
“””
requestsライブラリとurllib3のカスタムアダプターを使用してTLSバージョンを確認します。
“””
# 許可するSSLバージョンを指定してアダプターを作成
# ssl.PROTOCOL_TLS は Python 3.6 以降で推奨される、OSがサポートする最新のTLSバージョンを使用する設定
# 特定のバージョンを指定する場合: ssl.PROTOCOL_TLSv1_2, ssl.PROTOCOL_TLSv1_3 など
adapter = TLSAdapter(ssl_version=allowed_ssl_version)
session = requests.Session()
session.mount(“https://”, adapter)
try:
response = session.get(url, timeout=5)
print(f”URL: {url}”)
print(f”接続成功。レスポンスコード: {response.status_code}”)
# requests自体は確立されたTLSバージョンを直接提供しないため、
# この方法では「接続できたかどうか」と「指定したバージョンで接続を試みた」という結果になる。
# 実際に使用されたバージョンを知るには、sslモジュールのような低レベルなアプローチが必要。
print(f”指定したSSLバージョン ({allowed_ssl_version}) で接続を試みました。”)
return True
except requests.exceptions.SSLError as e:
print(f”SSLエラー: {e}”)
print(f”指定したSSLバージョン ({allowed_ssl_version}) では接続できませんでした。”)
return False
except requests.exceptions.ConnectionError as e:
print(f”接続エラー: {e}”)
return False
except Exception as e:
print(f”予期せぬエラー: {e}”)
return False
# 使用例：TLSv1.2 で接続を試みる
# print(“nrequestsでTLSv1.2のみを許可して試行:”)
# check_tls_version_requests(“https://www.google.com”, allowed_ssl_version=ssl.PROTOCOL_TLSv1_2)
# 使用例：TLSv1.3 で接続を試みる
# print(“nrequestsでTLSv1.3のみを許可して試行:”)
# check_tls_version_requests(“https://www.google.com”, allowed_ssl_version=ssl.PROTOCOL_TLSv1_3)
# 使用例：OSデフォルトの最新TLSバージョンで試行 (ssl.PROTOCOL_TLS)
# print(“nrequestsでOSデフォルトの最新TLSバージョンで試行:”)
# check_tls_version_requests(“https://www.google.com”, allowed_ssl_version=ssl.PROTOCOL_TLS)
“`
このアプローチの注意点として、`requests`ライブラリは、確立されたTLSバージョンを直接ユーザーに公開する簡単なメソッドを提供していません。上記コードは、指定したTLSバージョンで「接続できるか」を確認するものであり、実際にどのバージョンが使用されたかを知るためには、やはり`ssl`モジュールのような低レベルなAPIが必要になります。
TLSバージョン確認の重要性
TLSバージョンの確認は、ネットワークセキュリティにおいて非常に重要です。
セキュリティリスクの回避
古いTLSバージョン（TLSv1.0、TLSv1.1）は、既知の脆弱性を持っており、中間者攻撃（Man-in-the-Middle attack）やデータ傍受のリスクを高めます。これらの古いバージョンは、最新のブラウザやサーバーではデフォルトで無効化される傾向にありますが、レガシーシステムや一部のサービスではまだ使用されている可能性があります。
互換性の確認
一方で、最新のTLSv1.3だけを強制すると、それに対応していない古いクライアントやサーバーからの接続が拒否される可能性があります。そのため、アプリケーションやサービスによっては、TLSv1.2などの互換性のあるバージョンもサポートする必要がある場合があります。
コンプライアンス要件
PCI DSS（Payment Card Industry Data Security Standard）などのセキュリティ基準では、古いTLSバージョンの使用を禁止し、TLSv1.2以上の使用を義務付けています。これらの基準に準拠するためにも、TLSバージョンの確認と適切な設定が不可欠です。
まとめ
PythonでTLSのバージョンを確認するには、`ssl`モジュールを使用するのが最も直接的で詳細な方法です。`ssl.wrap_socket()`で確立された接続から`ssock.version()`を呼び出すことで、実際に使用されたTLSプロトコルバージョンを取得できます。また、`ssl.SSLContext`を使用して、接続時に使用するTLSバージョンの範囲を明示的に指定することも可能です。
より高レベルなHTTPクライアントとして`requests`ライブラリを使用する場合、直接的なTLSバージョン取得メソッドはありませんが、`urllib3`の`PoolManager`をカスタマイズすることで、接続時に使用するTLSバージョンを制限したり、特定のバージョンで接続を試みたりすることができます。ただし、実際にどのバージョンが使用されたかを確認するには、`ssl`モジュールの情報と組み合わせる必要があるでしょう。
TLSバージョンの適切な管理と確認は、セキュアな通信を確保し、潜在的なセキュリティリスクを回避するために、開発者およびシステム管理者にとって不可欠な作業です。
