【速報】CloudFrontの署名URL/CookieがSHA-256に対応！セキュリティレベルが劇的に向上！

Amazon CloudFrontで、署名付きURLと署名付きCookieのハッシュアルゴリズムとしてSHA-256が利用可能になりました。SHA-1に比べて衝突耐性が高く、最新の暗号化標準に準拠し、コンテンツへのアクセス制限におけるセキュリティを強化します。

CloudFront SHA-256対応、ついに来た！

これまでCloudFrontの署名付きURL/CookieはSHA-1のみでしたが、ついにSHA-256がサポートされましたね。これは、セキュリティコンプライアンスの観点から非常に重要なアップデートです。FIPS 140-2やNIST SP 800-131Aなどの規格に準拠する必要がある組織にとっては、必須と言えるでしょう。

問題点と解決策

• セキュリティコンプライアンス: SHA-1は脆弱性が指摘されており、SHA-256への移行が求められていました。今回のアップデートで、コンプライアンス要件を満たすことが容易になります。
• レガシーシステム: これまでSHA-256を強制するために、プロキシサービスなどを導入していたケースもありましたが、ネイティブサポートにより、そのような手間が不要になります。
• 将来への備え: SHA-1は非推奨となりつつあり、監査で問題となる可能性もあります。SHA-256への移行は、将来的なリスクを回避するために重要です。

日本のリージョンについて 最新のリージョン状況を確認しましたが、東京（ap-northeast-1）と大阪（ap-northeast-3）の両方でSHA-256サポートが利用可能です。安心して利用できますね。

運用上の注意点

• 既存のSHA-1署名付きURL/Cookieは引き続き動作しますので、すぐに変更する必要はありません。しかし、新しい署名付きURL/CookieはSHA-256を使用することを推奨します。
• テスト環境でSHA-256署名付きURL/Cookieを検証してから、本番環境に適用してください。
• 署名に使用する秘密鍵は、AWS Secrets ManagerやAWS KMSなどの安全な場所に保管し、定期的にローテーションすることを忘れないでください。

最初に確認すべきこと

1. Hash-Algorithm=SHA256パラメータを指定してSHA-256署名付きURLを生成し、アクセスできることを確認する。
2. CloudFront-Hash-Algorithm=SHA256属性を設定した署名付きCookieをテストする。
3. 既存のSHA-1署名付きURL/Cookieが引き続き動作することを確認する。
4. AWS SDKやOpenSSLコマンド、Lambda関数などの自動化スクリプトをSHA-256を使用するように更新する。

参考資料

• Create a signed URL using a canned policy
• Create a signed URL using a custom policy