Sicherheit von Onlinetransaktionen: Ankündigung unseres Plans zur Abschaffung von TLS 1.0 und 1.1

Hinweis: Hier finden Sie unseren aktuellsten Plan zur Abschaffung von TLS 1.0.undefined

Wir möchten Sie auf dem Laufenden halten, was Fastly bezüglich der neuesten Änderungen des PCI DSS 3.1 Standards, einschließlich der Änderungen bei Transport Layer Security (TLS), plant. Der PCI Security Standards Council hat im April 2015 die Version 3.1 des PCI DSS Standards veröffentlicht. Diese Standardaktualisierung schließt Secure Sockets Layer (SSL) 3.0, TLS 1.0 und einige von TLS 1.1 unterstützte Chiffren von Protokollen aus, die starke Kryptographie unterstützen. Das heißt, der Council möchte, dass wir diese Protokolle oder Chiffren nicht weiter unterstützen, um Ihre Sicherheit und die Ihrer Kunden weiterhin zu gewährleisten.

Die früheren Versionen von TLS und seinem Vorgänger SSL wiesen schwerwiegende und systembedingte Sicherheitsprobleme auf, darunter POODLE, Heartbleed und LOGJAM. Sie drohten, das Vertrauen in die grundlegenden Methoden der sicheren Kommunikation zu erschüttern, und setzten sowohl Sie als auch Ihre Kunden dem Risiko von Sicherheitsverletzungen aus. Die Maßnahmen des PCI DSS Councils zur Aufrechterhaltung eines hohen Mindeststandards tragen dazu bei, die Sicherheit aller Online-Geschäftstransaktionen zu garantieren.

Fastly muss daher die Mindestversionen von TLS, die wir unterstützen, anheben, Sie über diese Änderungen informieren und einen Plan veröffentlichen, wann und wie sich diese Änderungen auf Ihre Anwendungen auswirken könnten. Der folgende Blogpost gibt einen Überblick über die Änderungen des Councils und stellt unseren Plan zur Abschaffung von TLS 1.0 und 1.1 vor. Dieser Post wird als Datensatz zu Ihrer Information gespeichert; wenn Sie TLS 1.0 oder 1.1 für die private Kommunikation zwischen Client und Edge und/oder zwischen Cache und Ursprungsdatacenter verwenden, wirken sich diese Änderungen auf die Services von Fastly aus. Wir empfehlen Ihnen, sich diesen Plan gut anzusehen. Bitte wenden Sie sich bei Fragen oder Anliegen direkt an unser Team unter support@fastly.com.

Nachfolgend finden Sie die spezifischen Anforderungen des Standards, die sich im Vergleich zu früheren Versionen des PCI DSS geändert haben, sowie die erforderlichen Folgemaßnahmen:

• 2.2.3: Implementierung zusätzlicher Sicherheitsfunktionen für alle erforderlichen Services, Protokolle oder Daemons, die als unsicher gelten

• 2.3: Verschlüsselung aller nicht konsolengebundenen administrativen Zugriffe, mit starker Kryptographie

• 4.1: Verwendung starker Kryptographie und Sicherheitsprotokolle, um sensible Karteninhaberdaten bei der Übertragung über offene, öffentliche Netze zu schützen

In den aktualisierten Anforderungen wird außerdem zwischen neuen und bestehenden Implementierungen von kryptografischen Protokollen unterschieden. Fastly ist eine bestehende Implementierung, deren Services bereits vor dem Release der Anforderungen von v3.1 angeboten wurden. Das gibt uns die Zeit, die Unterstützung für die oben genannten Protokolle zu deaktivieren und Ihnen die Möglichkeit zu geben, sich auf diese Änderungen einzustellen, indem wir die minimale Client-Unterstützung auf TLS 1.2 anheben, um eine nahtlose Umstellung zu gewährleisten.

Basierend auf dem aktuellen Stand der Fastly Implementierung haben wir den folgenden Umstellungsplan erstellt, um ab dem 30. Juni 2016 ausschließlich TLS 1.2 zu unterstützen, was mit der vom Council gesetzten Frist zum 30. Juni 2016 übereinstimmt:

• Kontinuierliche Überwachung des Einsatzes von Verschlüsselungsprotokollen im Fastly Network heute

  • Zum Zeitpunkt der Veröffentlichung dieses Posts verwenden etwa 14 % des Traffics TLS 1.0, 0,05 % verwenden TLS 1.1 und 85,95 % TLS 1.2. Als Reaktion auf die POODLE-Schwachstelle wurde SSL 3.0 am 14. Oktober 2014 außer Kraft gesetzt.

• Ankündigung und Kommunikation der Absicht von Fastly, am 1. Juli 2016 sowohl für die Live- als auch für die Verwaltungsanwendung von Fastly auf TLS 1.2 zu migrieren

• Festlegung einer Fastly Umstellungsfrist, die mit der Frist für PCI DSS v3.1 (30. Juni 2016) übereinstimmt

• Deaktivierung von TLS 1.0 und TLS 1.1 am 30. Juni 2016

Wir nutzen die vom PCI DSS v3.1 Council eingeräumte Zeit, um Sie über unsere Absicht zu informieren, TLS 1.0 und die schwachen Chiffren in TLS 1.1 aufgrund bekannter Schwachstellen in diesen Protokollen abzuschaffen. Wir behalten uns jedoch das Recht vor, die Umstellung zu beschleunigen, sollte eine Schwachstelle entdeckt werden, um sowohl unsere Kunden als auch die Infrastruktur von Fastly zu schützen.

Haben Sie noch weitere Fragen oder Bedenken zu den Compliance-Bemühungen von Fastly, unserem Level 1 Service Provider Status nach PCI DDS Standards oder zu diesem Umstellungsplan? Wenden Sie sich bitte an unser Support Team. Unsere Geschäftsbeziehung bedeutet uns viel und wir hoffen, dass diese Ankündigung unser Engagement für Ihre Sicherheit und die Ihrer Endnutzer unterstreicht.