2015年12月18日に公開した、SSLおよび初期のTLSから安全なTLSへの移行期限の延長に関するプレスリリース[1]について、速報として概要を解説しました。今回は、プレスリリースと併せて公開された改訂内容について、より掘り下げて解説します。示された改訂内容をおさらいしましょう。v3.1に記載されている例外通り、2018年6月以降も使用することができるこの改訂内容の内、3.および4.は、これまでの移行期限日2016年6月30日が二年延長され2018年6月30日になった事を述べており、特に疑問となる点はないかと思います。enabled)」とあります。無効にする必要がないのでしょうか?まず1.と2.は、それぞれ適用される対象が異なる事に注意します。「すべての新しい実装」が対象となっています。v3.1)」という但し書きがある事に注意します。無効にしなくてはならない事になります。implementations)」とは具体的に何であるかについては、また後ほど解説します。無効にする事までは求められていない事になります(2018年6月30日までは)。以上だけを提供しても問題ありません。以上を提供する必要がある事になります。以上でサービスを提供しなければならない。無効にする事は求められていない。無効にしなければならない。「新しい実装」とは何か?さて、それでは「新しい実装」とは具体的に何を指すのでしょうか?実は、以下で説明するように、新しいシステムを追加する場合でも「新しい実装」には該当しない場合があるのです。implementations」で詳しく説明されています。少々長くなりますが、以下に意訳して引用します。実装は、脆弱なプロトコルの利用に対する依存が無い時、「新しい実装」と見なされる。・安全なプロトコルをサポートする他のシステム/ネットワークと通信する新しいシステム、またはネットワークを構築する事もしも新しい実装が、既存の脆弱なプロトコルをサポートする必要がないのであれば、それは安全なプロトコルと強力な暗号化のみを使い、脆弱なプロトコルにフォールバックしないよう設定しなくてはならない。ブラウザは、サポートする必要のある既存の脆弱なインフラと見なしてはならない。反対に「既存の」実装とは、以前から存在する脆弱なプロトコルへの依存や利用がある場合を指す。・現在、脆弱なプロトコルを利用しているシステム/ネットワークと通信する新しいシステム、またはネットワークを構築する事なお、SSL/初期のTLSを利用し続ける事は環境にリスクをもたらすため、既存の実装は速やかにアップグレードする事を推奨する。「実装」には、システムを追加する事やアプリケーションをインストールする事、また他のシステム/ネットワークと通信する新しいシステムやネットワークを構築する事が含まれる。1.0を利用するシステムと通信する必要がある場合は、それは「既存の実装」となる。この通信する必要がある相手として、エンドユーザのWebブラウザは除外しなくてはならない。1.0を利用するシステムと通信する必要がない場合は「新しい実装」となる。無効にしなくても良いという事になります。利用しているシステムとは見なせません)これは良く考えれば合理的な定義です。以上を有効にする必要が出て来てしまいます。1.0をすぐには無効化しなくてもいいですよ、という事にしているのだと思われます。公開したSSLおよび初期のTLSから安全なTLSへの移行期限の延長に関する改訂内容について、前回より掘り下げて解説しました。いつまでに無効化しなければならないか?」についてまとめましょう。1.0を無効化する必要がある。(改訂内容4.で記載された特定環境のPOIターミナルが唯一の例外)「新しい実装」については、ただちに無効化が必要。1.0を利用しているシステム/ネットワークと通信する必要がない、新しいシステム、アプリケーション、ネットワークなどの事。以上でサービスを提供しなければならない。利用できる可能性があります。以上への速やかな移行が推奨されている事も心に留めておくべきでしょう。本文書を使用することによっていかなる損害が生じようとも、当社は一切責任を負いません。よる見解や解釈を正式に示すものではありません。SSCへのお問い合わせはご遠慮ください。お問合せは、以下の連絡先までお願いいたします。TLShttp://info.pcisecuritystandards.org/webinar-migrating-from-ssl-early-tls視聴するためには、氏名、メールアドレス、会社名を登録する必要があります。TLShttps://www.pcisecuritystandards.org/documents/Migrating_from_SSL_Early_TLS_Information_Supplement_v1.pdfなお、本文書も移行期限の延長に合わせて改訂される事が予告されているので、一つ上の階層(https://www.pcisecuritystandards.org/document_library)から辿る方が良いかもしれません。Corporation。