「ssl_error_handshake_failure_alert」を解決！ブラウザのSSLハンドシェイクエラーの原因と直し方

SSLハンドシェイクエラーは、アクセスユーザーの正当性を検証する必要があるWebサイト(特にハードウェア暗号デバイスやカードを使用して認証を行うサイト)でよく発生する問題です。このエラーは、FirefoxやChrome、Edgeといった主要なブラウザで、Windows・Mac・Linuxなど主要なデスクトップOS上で表示されることが確認されています。典型的なエラー表示は以下のようなものです。

SSLハンドシェイクエラーとは、SSLプロトコルを使用したサーバーとクライアント間の通信が失敗することを指します。このエラーはクライアント側とサーバー側の両方の要因で引き起こされる可能性があります。主な原因として報告されているものは以下の通りです。

• 破損したブラウザデータ: Cookieやキャッシュなどのブラウザデータが破損していると、Webサイトが必要とする証明書を正しく読み込めず、SSLハンドシェイクエラーにつながることがあります。
• ブラウザまたはJavaセキュリティ設定の不具合: ブラウザやJavaのセキュリティ機能がそのサイトを危険なサイトと判断すると、SSLハンドシェイク警告とともにページが開かないことがあります。
• セキュリティソフトによる干渉: システムのアンチウイルスやファイアウォールが特定のパケットを危険と判断してブロックすると、ブラウザはSSLハンドシェイク警告を表示してWebサイトを読み込めなくなる場合があります。
• 証明書の不適切なインストール: 一部のWebサイトでは、証明書をOSの特定の場所にインストールすることが求められます。証明書が本来あるべき場所に存在せず別の場所にある場合、サイトがブラウザに応答せず、SSLハンドシェイク失敗の警告が表示されることがあります。

ブラウザを最新バージョンに更新する

古いバージョンのブラウザは各種Webサイトとの互換性の問題から、ssl_error_handshake_failure_alertを表示することがあります。ここでは、Google Chromeを例に更新手順を説明します。その前に、対象のWebサイトが暗号デバイスやカードによるユーザー認証を必要とする場合は、該当デバイスのドライバが正しくインストールされ使用されていることを確認してください。

1. Chromeブラウザを開き、右上隅にある縦3点のメニューアイコンをクリックしてChromeメニューを開きます。
2. 設定を選択し、左側ペインでChromeについてタブに移動します。
3. 右側ペインでGoogle Chromeが最新ビルドに更新されていることを確認し、その後、SSLハンドシェイクエラーが解消されたかどうかを確認します。
4. エラーが解消しない場合、かつブラウザ更新後に問題が発生し始めたのであれば、旧バージョンをインストールすることでハンドシェイク失敗の問題が解決するか確認してください。

ブラウザの証明書マネージャーで問題のある証明書を削除する

ブラウザの証明書マネージャー内にあるWebサイトの証明書が破損している場合、ブラウザはssl_error_handshake_failure_alertを表示することがあります。この場合、ブラウザの設定から問題のあるサイトの証明書を削除することで解決できます。ここではFirefoxでの手順を例に説明します。

1. Firefoxを起動し、右上隅付近にあるハンバーガーアイコン(三本線)をクリックします。
2. 設定を選択し、左側ペインのプライバシーとセキュリティタブへ移動します。
3. 画面を下にスクロールし、証明書セクションが表示されたら、証明書を表示ボタンをクリックします。
4. あなたの証明書タブに移動し、問題のあるWebサイトの証明書を選択します。
5. 削除をクリックし、確認して証明書を削除します。その後、サーバータブに問題のサイトの証明書が残っていないこと、認証局タブに関連するCAが残っていないことも確認してください。
6. Firefoxを再起動し、SSLハンドシェイクエラーが解消されたかどうかを確認します。

これでも改善しない場合は、別のネットワークまたはネットワークタイプ(有線LANで問題が発生している場合はWi-Fiを使うなど)への切り替えで問題が解決するか試してみてください。

ブラウザのCookie・キャッシュ・データを削除する

Cookie、キャッシュ、その他のブラウザデータのいずれかが破損していると、SSLハンドシェイクエラーが表示されることがあります。この場合、これらのデータを削除することでエラーが解消する可能性があります。ここではChromeでの削除手順を説明します。

1. Chromeブラウザを起動し、右上隅の縦3点アイコンをクリックします。
2. その他のツールにカーソルを合わせ、閲覧履歴データを削除を選択します。
3. 表示されたウィンドウの詳細設定タブで、下部付近にあるログアウトをクリックして、Googleアカウントのデータを保持します。
4. 期間を全期間に設定し、すべてのカテゴリにチェックを入れます。
5. データを削除ボタンをクリックし、完了したらシステムを再起動します。
6. 再起動後、ssl_error_handshake_failure_alertが解消されたかどうかを確認します。

別のブラウザを試す

ssl_error_handshake_failure_alertは、使用中のブラウザ自体のバグが原因である可能性もあります。この場合、別のブラウザを使えば問題なく対象のWebサイトにアクセスできることがあります。

1. システムに別のブラウザがまだなければ、ダウンロードしてインストールします。可能であればOS標準推奨のブラウザ(WindowsならEdge、MacならSafari、LinuxならFirefox、ChromebookならChrome)を使用するとよいでしょう。
2. 2つ目のブラウザを起動し、SSLハンドシェイクエラーを発生させずにWebサイトへアクセスできるか確認します。

システムのインターネットオプションを初期化する

Windows環境において、インターネットオプションはOSやアプリケーションがインターネットへ接続するために使う多くの基本設定を管理しています。設定の誤りや証明書マネージャーの破損がある場合、インターネットオプションを既定値に戻すことで問題が解決することがあります。

1. Windowsキーを押し、「インターネット オプション」と検索して開きます。
2. 詳細設定タブに移動し、詳細設定のリセットをクリックします。
3. 次に、Internet Explorerの設定のリセットセクションでリセットをクリックし、個人設定を削除するにチェックを入れます。
4. リセットをクリックし、その後システムを再起動します。
5. 再起動後、ブラウザのSSLハンドシェイクエラーが解消されたかどうかを確認します。

Webサイトをブラウザの信頼済みサイトに追加する

それでも問題が解決しない場合は、そのWebサイトをブラウザの信頼済みサイトとして追加することで解決する可能性があります。ここではFirefoxでの手順を紹介します。

注意:

危険な可能性のあるサイトを信頼済みとして追加すると、データ・システム・ネットワークが脅威にさらされる恐れがあります。自己責任で進めてください。

1. Firefoxを起動し、問題のあるWebサイトへ移動します。
2. アドレスバーからサイトの完全なURLをコピーしておき、アドレスバーに以下を入力します:

   about:config

   
3. 危険性を受け入れて進むをクリックします。
4. 次に、設定名で検索ボックスに以下を入力します:

   tls.insecure_fallback_hosts

5. 編集(鉛筆)アイコンをクリックし、問題のあるWebサイトのURLを入力します。
6. チェックアイコンをクリックし、Firefoxを再起動します。
7. 再起動後、問題のWebサイトがSSLエラーなしで開けるか確認します。なお、Firefoxから機密情報を入力しないよう警告する黄色いポップアップがサイト上部に表示される場合がありますのでご留意ください。

ブラウザのセキュリティ設定を編集する

SSLハンドシェイクエラーは、問題のWebサイト側の設定不備が原因であることもあり、そのような場合、ブラウザのセキュリティ設定を編集することで当該サイトへアクセスできるようになることがあります。ここではFirefoxでの手順を説明します。

注意:

ブラウザのセキュリティ設定を変更すると、システム・データ・ネットワークが脅威にさらされる恐れがあります。必ず自己責任で行ってください。

1. Firefoxを起動し、アドレスバーに以下を入力します:

   about:config

2. 危険性を受け入れて進むをクリックします。
3. 設定名で検索欄に以下を入力します:

   tls.enable_0rtt_data

4. 切り替えボタンをクリックして上記の設定をfalseに変更し、Firefoxを再起動して、SSLハンドシェイク失敗の問題が解決したかどうかを確認します。

Burp Suiteを再インストールする

組織でWebアプリケーションの安全なテスト・分析のためにBurp Suiteを使用している場合、その設定不備がSSLハンドシェイク失敗の警告につながることがあります。この場合、Burp Suiteの再インストールで問題が解決することがあります。

1. 以前のBurpファイルおよびLoaderのJARファイルをバックアップします。
2. Windowsボタンを右クリックし、アプリと機能を選択します。
3. Burp Suiteを展開し、アンインストールをクリックします。
4. アンインストールを確認し、その後システムを再起動します。
5. 再起動後、最新版のBurp Suiteをダウンロードしてインストールします。その際、Burp SuiteがOSドライブ(例:Cドライブ)にインストールされていることを確認してください。
6. バックアップしておいたBurpファイルとローダーを以下の場所にコピーします:

   C:\Burp_Suite\jre\bin

7. Windowsキーをクリックし、コマンドプロンプトを検索、結果を右クリックして管理者として実行を選択します。
8. 以下のコマンドを実行します(Xは実際の値に置き換えてください):

   C:\Burp_Suite\jre\bin\java.exe -javaagent:BurpSuiteLoader_v.XXX.jar -noverify -jar burpsuite_pro_vXXX.jar

9. ブラウザ(Firefoxなど)を起動し、SSLハンドシェイクの問題が解決したか確認します。

Gemalto/Thales DIS CMSの場合はProgram Filesディレクトリの証明書を使用する

組織でGemalto(現在はThales DISとして知られています)のアプリケーション/CMSを使用している場合、Program Files (X86)ではなくProgram Files側の証明書を使用することで問題が解決することがあります。これは、64ビット版のクライアントブラウザが64ビットのProgram Filesディレクトリ内の証明書を探すためです。ここではFirefoxでの手順を紹介します。

1. Firefoxブラウザを起動し、メニューを開きます。
2. 設定を選択し、プライバシーとセキュリティタブへ移動します。
3. 下にスクロールし、(証明書セクション内の)セキュリティデバイスボタンをクリックします。
4. 読み込みをクリックし、モジュール名に以下を入力します:

   Gemalto PKCS#11 Module

   
5. 次に参照をクリックし、以下のパスへ移動してgclib.dllを選択します:

   C:\Program Files\Gemalto\Classic Client\BIN\gclib.dll

   
6. 開くをクリックし、その後OKをクリックします。
7. Firefoxを再起動し、SSLハンドシェイクの問題が解決したかどうかを確認します。

JavaセキュリティにWebサイトの例外を追加する

クライアントマシンでJavaを必要とするWebサイトに対し、Javaがそのサイトを安全でないと判断すると、ブラウザにSSLハンドシェイクエラーが発生することがあります。この場合、Javaのセキュリティ設定にそのサイトの例外を追加することで解決できます。

1. Windowsキーをクリックし、「Javaの構成」と入力して開きます。
2. セキュリティタブに移動し、サイト・リストの編集をクリックします。
3. 追加をクリックし、問題のあるWebサイトのURLを入力します。
4. OKをクリックし、その後システムを再起動します。
5. 再起動後、SSLエラーが解消されたかどうかを確認します。

システムのアンチウイルス/ファイアウォールを無効化またはアンインストールする

システムのアンチウイルスが、ブラウザが安全と判断できない形でWebサイトのデータを改変している場合、ブラウザはSSLハンドシェイク失敗の警告を表示することがあります。そのような場合、アンチウイルス/ファイアウォールを無効化することでSSLハンドシェイクエラーが解消する可能性があります。特にカスペルスキー(Kaspersky)でこの問題が報告されています。

注意:

アンチウイルスやファイアウォールを無効化・アンインストールすると、データ・システム・ネットワークが脅威にさらされる恐れがあります。必ず自己責任で行ってください。

アンチウイルス/ファイアウォールを無効化する

1. システムトレイ内のセキュリティ製品(例:ESET)を右クリックし(隠れているアイコンの表示が必要な場合があります)、保護の一時停止を選択します。
2. 無効化を確認し、再度システムトレイのセキュリティ製品を右クリックします。
3. ファイアウォールの一時停止を選択し、求められたらESETファイアウォールの無効化を確認します。
4. その後、ブラウザがSSLハンドシェイクエラーを起こさずに当該サイトへアクセスできるか確認します。

サードパーティ製アンチウイルス/ファイアウォールをアンインストールする

無効化しても効果がない場合は、アンインストールすることで問題が解決することがあります。

1. Windowsボタンを右クリックし、アプリと機能を選択します。
2. セキュリティアプリケーション(例:ESET)を展開し、アンインストールをクリックします。
3. アンインストールを確認し、その後システムを再起動します。
4. 再起動後、SSLハンドシェイクエラーが解消されたかどうかを確認します。

組織でハードウェアファイアウォールコンソールを使用している場合は、ハードウェアファイアウォールとシステムをつなぐケーブルがファイアウォールメーカー推奨のものであることを確認してください。互換性のないケーブルが、ブラウザでSSLハンドシェイク失敗の警告を引き起こすことがあります。

問題の証明書を再登録する

問題のWebサイトがシステムへの証明書インストールを必要としている場合(メールで提供されたものやオンラインからダウンロードしたもの)、証明書が正しくインストールされていないと、再インストールすることで問題が解決することがあります。まず、問題の証明書をダウンロードまたはエクスポートしておいてください。

1. Windowsボタンを右クリックし、ファイル名を指定して実行を選択します。
2. 以下のコマンドを実行します:

   certmgr.msc

   
3. 個人 >> 証明書タブへ移動し、問題の証明書がそこに存在するか確認します。証明書発行者が別のタブでの配置を要求している場合は、該当タブに存在することを確認してください。
4. 証明書が適切なタブに存在する場合は、それをダブルクリックしてプロパティ/有効性を確認します。
5. すべて問題なければ、Windowsキーを押して「インターネット オプション」を検索し、開きます。
6. インターネットオプションのコンテンツタブへ移動し、証明書をクリックします。
7. 問題のWebサイトの証明書が該当タブ(通常は「個人」)に表示されているか確認します。
8. 証明書をダブルクリックし、プロパティ/有効性を確認します。
9. 証明書に有効な公開キーが関連付けられていることも確認してください。公開キーは証明書プロパティの詳細タブで確認できます。
10. 次に、インターネットオプションの詳細設定タブへ移動し、TLSの各項目が有効になっていること、SSLのチェックボックスが外れていることを確認します。
11. 変更を適用し、ブラウザを再起動して、ハンドシェイク失敗エラーが解消されたかどうかを確認します。

証明書が証明書マネージャーの正しいタブに表示されない場合や再インストールできない場合は、詳細な手順を解説したMicrosoft公式ページを参照してください。

Firefoxへ証明書をインポートする

Firefoxで問題が発生している場合、FirefoxはOSの証明書マネージャーにある証明書の多くを使用しないため、ユーザー自身が証明書をFirefoxへインポートする必要がある点に注意してください。

1. Firefoxブラウザを起動し、メニューを開きます。
2. 設定を選択し、左ペインのプライバシーとセキュリティタブをクリックします。
3. 下にスクロールし、証明書を表示をクリックします。
4. あなたの証明書タブ(または発行者が推奨するタブ)で、インポートをクリックし、証明書ファイルを参照します。
5. 証明書を選択し、変更を適用します。
6. Firefoxを再起動し、SSLハンドシェイクの問題が解決したかどうかを確認します。

それでも問題が解決しない場合は、問題のWebサイトに連絡して、向こうのセキュリティ設定が正常に機能しているか確認してみてください。また、組織のインフラに古いハードウェアを使用している場合は、VM上で旧OS(例:XP)を使って対象デバイスへアクセスする方法も有効です。

サーバー関連の問題へのガイドライン

サーバー側の原因(多様なマシン、デバイス、アプリケーションなど)を網羅的にカバーすることは現実的に困難であるため、ユーザーから報告されたハンドシェイクエラー解消のためのガイドラインをいくつか紹介します。

1. サーバー設定から以下を削除することで問題が解決するか確認してください:

   SSLVerifyClient require
   
   SSLVerifyDepth 10

2. Apacheを使用している場合、SSLCACertificatePathを~~~~~~/ca/certs/ca.cert.pemに設定し、SSLVerifyDepth 1をSSLVerifyDepth 10に変更してみてください。さらに、クライアント証明書を(PFXから)PEM形式に変更します。その後、SSLの問題が解決したか確認してください。
3. 証明書を(PrintableStringsforではなく)UTF8Stringsforで再生成することで、ハンドシェイクの問題が解決するか確認してください。
4. 組織でSAP Cloud Connectorを使用している場合は、クラウド接続を終了し、props.iniファイルを開いて、#jvmセクションに以下の行を追加し、SSLの問題が解決するか確認してください:

   -Djdk.tls.server.protocols=TLSv1.2

5. サーバーを双方向TLSを使用するよう設定することで、ハンドシェイクエラーが解消するか確認してください。