オンライントランザクションの安全性を確保 : TLS 1.0 および TLS 1.1 廃止計画の発表
Chief Product Architect, Fastly
注意 : TLS 1.0 の廃止計画の最新情報はこちらをご覧ください。undefinedundefinedundefined
トランスポートレイヤーセキュリティ (TLS) の変更を含め、PCI DSS 3.1 の最新の変更に関する Fastly の計画をご案内します。2015年4月、PCI Security Standards Council (PCI SSC) は、PCI DSS のバージョン3.1をリリースしました。今回の基準改訂では、強力な暗号をサポートするプロトコルから、Secure Sockets Layer (SSL) 3.0、TLS 1.0、および TLS 1.1 がサポートする一部の暗号が除外されています。つまり、お客様とお客様の顧客のセキュリティを確保し続けるため、Fastly はこれらのプロトコルや暗号のサポートを中止する必要があります。
旧バージョンの TLS とその前身である SSL には、POODLE や Heartbleed、LOGJAM などの深刻かつ体系的なセキュリティ問題が存在します。これらの問題は、安全な通信を行う基本的なメソッドに対する信頼を損ね、お客様とお客様の顧客の両方がセキュリティ侵害にさらされる恐れがありました。高い最低基準を維持するための PCI SSC の対応は、オンラインで行われるすべてのビジネストランザクションのセキュリティを確保するための一歩です。
この変更によって、Fastly はサポートする TLS のバージョンの下限を引き上げるとともに、こうした変更に関する情報をお客様に通知し、変更がお客様のアプリケーションにいつ、どのように影響するかについて計画を公表する必要があります。このブログ記事では参考として、今回の PCI DSS の変更と Fastly の TLS 1.0 および TLS 1.1 の廃止計画について概要を説明しています。クライアントからエッジおよび/またはキャッシュサーバーからオリジンデータセンターへのプライベート通信に TLS 1.0 または TLS 1.1 を使用している場合、この変更によって Fastly のサービスに影響が出るため、廃止計画を確認することをおすすめします。ご質問やご不明な点がありましたら、support@fastly.com までお問い合わせください。
旧バージョンから変更された PCI DSS の具体的な要件とそれらへの準拠に必要な対策は以下のとおりです。
2.2.3 : 安全でないと見なされる必要なサービス、プロトコル、またはデーモンに追加のセキュリティ機能を実装します。
2.3 : 強力な暗号化を使用して、コンソール以外のあらゆる管理アクセスを暗号化します。
4.1 : オープンな公共ネットワーク経由で機密性の高いカード会員データを伝送する場合、強力な暗号化とセキュリティプロトコルを使用して保護します。
また、今回の要件の変更では、暗号化プロトコルの新規実装と既存実装が区別されています。Fastly は、v3.1 要件のリリース前に提供されたサービスを使用する既存実装です。そのため、上記のプロトコルのサポートを廃止するまでに時間的な猶予があり、クライアントでサポートする TLS のバージョンの下限を TLS 1.2 に引き上げることでこれらの変更に対応し、シームレスな移行を実現できます。
Fastly が既存実装であるという状況を踏まえ、PCI SSC が設定した期限に合わせて2016年6月30日までに TLS 1.2 のみに対応するため、以下のとおり移行計画を策定しました。
現在の Fastly ネットワークでの暗号化プロトコルの使用状況を継続的にモニタリングします。
このブログ記事の投稿時点では、トラフィックの約14%が TLS 1.0 を使用しており、0.05%が TLS 1.1、85.95%が TLS 1.2 を使用しています。POODLE の脆弱性を受け、SSL 3.0 は2014年10月14日にサポート対象外となりました。
2016年7月1日に本番環境と Fastly 管理アプリケーションの両方で TLS 1.2 のみに移行する計画を発表し、通知を行います。
PCI DSS v3.1 の期限である2016年6月30日に合わせ、Fastly の移行期限を提示します。
2016年6月30日に TLS 1.0 と TLS 1.1 を無効化します。
TLS 1.0 と、TLS 1.1 の脆弱な暗号には既知の脆弱性があるため、Fastly では、PCI DSS v3.1 に関して PCI SSC が設けた猶予期間を利用して、これらのプロトコルのサポートを廃止する意向を通知しています。スムーズな移行により、古いブラウザやクライアントをサポートするお客様への影響を最小限に抑える一方で、脆弱性が検出された場合は、お客様と Fastly のインフラストラクチャの両方を保護するため、Fastly は移行を加速する権限を有します。
Fastly のコンプライアンスへの取り組み、PCI レベル1サービスプロバイダーとしてのステータス、またはこの移行計画に関するご質問やご不明な点がありましたら、お気軽にサポートチームまでお問い合わせください。私たちはお客様のビジネスを大切に考えます。今回の発表により、お客様とエンドユーザーの安全を守るという Fastly のコミットメントをご理解いただけることを願っています。
