主要ブラウザーの TLS 1.0/1.1 無効化のスケジュール変更について

2019 年 12 月 3 日の記事「主要ブラウザーにおける TLS 1.0/1.1 無効化について」において、主要ブラウザーにおける TLS 1.0/1.1 無効化の計画を発表したことをご案内しましたが、本記事では、主要ブラウザーによる TLS 1.0/1.1 無効化のスケジュール変更についてお知らせします。

TLS 1.0/1.1 無効化のスケジュール変更について

新型コロナウイルス感染症 (COVID-19) の世界的流行にともない、Microsoft、Google、Mozilla は以前発表した TLS 1.0/1.1 無効化について、スケジュールを変更する旨の発表を行いました。

Microsoft Internet Explorer / Edge

以前の発表：

• 2020 年前半に TLS 1.0/1.1 を無効化

今回の発表：

• サポートされているすべてのバージョンの Internet Explorer 11 および Microsoft Edge Legacy（EdgeHTML ベース）では、2020 年 9 月 8 日をもって、TLS 1.0 および TLS 1.1 がデフォルトで無効
• 新しい Microsoft Edge（Chromium ベース）の場合、TLS 1.0 および 1.1 は現在、Microsoft Edge バージョン 84（現在 2020 年 7 月に計画されている）までにデフォルトで無効になる予定

Plan for change: TLS 1.0 and TLS 1.1 soon to be disabled by default

Google Chrome

以前の発表：

• 2020 年 1 月 13 日より、Chrome 79 以降にて TLS 1.0/1.1 の接続時に警告を表示
• 2020 年 3 月リリース予定の Chrome 81 より TLS 1.0/1.1 の接続を無効化し、TLS 1.0/1.1 を利用した接続時に「接続が安全ではない」のような旨を示す画面を表示

今回の発表：

• Google Chrome および Chrome OS のリリースを一時停止する
• Chrome 81 のリリースを 4 月 7 日週に延期し、また、TLS 1.0/1.1 の接続の無効化は 5 月中旬リリース予定の Chrome 83 に延期する

Chrome and Chrome OS release updates
TLS 1.0 and TLS 1.1 (removed)

なお、Chrome の動作状況を調査した結果は以下の通りです （3 月 29 日時点）

2020 年 1 月 13 日より、Chrome 79 以降において TLS 1.0/1.1 の接続時、アドレスバーに「保護されていない通信」、詳細に警告メッセージが表示されていましたが、Chrome 81 の Beta では詳細に警告メッセージが表示されるものの、アドレスバーの表示が鍵マークに戻っています。

Mozilla Firefox

以前の発表：

• 2020 年 3 月リリース予定の Firefox 74 より TLS 1.0/1.1 の接続を無効化し、TLS 1.0/1.1 を利用した接続時に「安全な接続ができませんでした」のような旨を示す画面を表示

今回の発表：

• TLS 1.0/1.1 対応を一時的に再有効化する方針を発表

Firefox 74.0, See All New Features, Updates and Fixes

Firefox の動作状況を調査した結果、Firefox 74 のリリース直後は TLS 1.0/1.1 の接続が無効化され、ページ読み込みエラーとなりましたが、その後に行われたアップデートにより、3 月 29 日時点では TLS 1.0/1.1 が再有効化され接続が可能であることを確認しています。

Apple Safari

Safari に関する発表は 4 月 1 日現時点で確認できておりません。しかしながら、4 月 1 日時点での Safariの動作状況を調査した結果は以下の通りです。

予定通り、Safari 13.1 が 2020 年 3 月 24 日にリリースされましたが、以前の発表と異なる動作になっております。

以前の発表：

• 2020 年 3 月リリース予定の Safari 13 より TLS 1.0/1.1 の接続を無効化し、TLS 1.0/1.1 を利用した接続時に「このページは表示できません」のような旨を示す画面を表示
  
  ※ Safari Technology Preview と呼ばれる開発者向けバージョンで確認しています。

実際の動作：

• Safari 13 で TLS 1.0/1.1 の接続を無効化されず、TLS 1.0/1.1 を利用した接続時にアドレスバーに「安全ではありません」と表示
  

対策のおさらい

前回の記事でもお伝えしましたが、サーバーにアクセスされるユーザーの皆さまにおかれましては、ブラウザー等のソフトウェア側での対応が進むため、ソフトウェアを最新に保たれていれば、何かを意識して設定されるような必要はありません。

サーバーを運用、管理する立場の皆さまにおかれましては、お使いのサーバーを TLS 1.2 以上（TLS 1.2 および 1.3）に設定変更、もしくは サーバーのバージョンアップなどの対応が必要です。もしまだ対応されていないようであれば、可能な限り早めの対応をおすすめします。

さいごに

テレワークの普及によるオンラインサービスの利用増加にともない、安心・安全な通信をインターネット上で行うための仕組みが今後より一層求められ、通信を暗号化する SSL/TLSの「重要度」は上がり続けています。

SSL/TLS を使用した通信をするためには、ご利用のサーバーにサーバー証明書の適用が必要です。サーバー証明書は、高いクライアントカバレッジと柔軟なサポートをご提供する、当社 SureServer EV、および SureServer をぜひご活用ください。

また、テレワーク実施を指示するのであれば、十分なセキュリティ対策を施しておく必要があります。サイバートラストのテレワークソリューションでは、テレワークにご活用いただける当社サービスを総合的にご案内しております。是非ご覧いただき、テレワークの導入・活用にお役立てください。

本記事に関連するリンク

• サイバートラスト SureServer ウェブサイト
• TLS について
• 主要ブラウザーにおける TLS 1.0/1.1 無効化について