Yahoo! JAPAN、2018年6月1日以降TLS1.0/1.1のサポートを順次終了へ 24
ストーリー by hylom
ついに大手が 部門より
ついに大手が 部門より
Yahoo! JAPANが、2018年6月1日以降TLS1.0/1.1のサポートを順次終了すると発表した。
これにより、Windows Vista以前およびMac OS X 10.8以前、Android 4.0.4以前、iOS 5.0.1以前ではYahoo! JAPANのサービスが利用できなくなるため、利用者に対しアップデートを行うよう求めている。Webブラウザについても、Internet Explorer 10以前、Chrome 29以前、Firefox 26以前では利用ができなくなる。
TLS 1.0/1.1にはすでに脆弱性が発見されており、以前より非推奨とされていたものの、互換性の問題などから移行は進んでいなかった。
そういえばさくらからDM来てたな (スコア:2, 興味深い)
【重要】さくらインターネットが提供する各種サービスにおけるTLS1.0/1.1無効化のお知らせ
https://www.sakura.ad.jp/news/sakurainfo/newsentry.php?id=1918 [sakura.ad.jp]
どっかが旗振りしてるのかな？
Re:そういえばさくらからDM来てたな (スコア:1)
直接の理由じゃないだろうけど出所はPCI-DSSじゃない?
Re: (スコア:0)
カード決済代行（クロネコＷＥＢとか）はすでに対応始めています。
このあたりは脆弱性による被害にも敏感なので早いですね。
Re: (スコア:0)
カード決済代行（クロネコＷＥＢとか）はすでに対応始めています。
このあたりは脆弱性による被害にも敏感なので早いですね。
いや単にカードに使う通信は1.2にしないと違反ですよ
対処しないと使えなくしますよって
2017年のうちから告知されてたからでしょ
カード扱ってんのに知らんかった
間に合いませんでしたでは
カード扱えなくなりますですよ
Re: (スコア:0)
つい少し前まで配達状況サイト [kuronekoyamato.co.jp]をhttpsでアクセスできなかった会社の何が敏感だって?
Re: (スコア:0)
クロネコメンバーズがRC4をいつまでたってもやめなかったこともあったな。
Re: (スコア:0)
このへん？
http://www.meti.go.jp/press/2017/03/20180301005/20180301005.html [meti.go.jp]
主としてTLS 1.2を使っているけれどもTLS 1.0が混在していて表示が崩れるサイトです (スコア:2, おもしろおかしい)
https://srad.jp/ [srad.jp]
Mac OS X 10.8以前がアウトってことは (スコア:1)
Mac OS X 10.9 Mavericks以降はセーフで、Apple Storeでまだ売っている2009年発売のMac OS X 10.6 Snow Leopard [apple.com]は当然ダメなんですね
同じ2009年発売のWindows 7はセーフなのになんだかなあ
終了するのはいいけど、十年前の暗号化した脆いデータは解析できるってことだよね (スコア:0)
10年パスワード変えてない人たちはどうすんの?
Re:終了するのはいいけど、十年前の暗号化した脆いデータは解析できるってことだよね (スコア:2, すばらしい洞察)
ごめん、よくわかってないんだけど、
これって通信経路上の暗号化の話だよね？
１０年パスワード変えてないとか、関係あるの？
まぁ別件として、１０年前はsha1でハッシュしてたけど今はアレなんで、最近パスワード変更した人はよりセキュアな暗号方式になってる、という可能性は高いけど。
# 10年前にどうやってパスワード保存してたか知らんけど。
Re: (スコア:0)
いやそれで正しいよ
#3399321が頭おかしいだけ
Re: (スコア:0)
欠陥や計算量の問題で解読出来るようになるまでパケットを保存して置き、
長年パスワードの変更をしてない人への攻撃に利用する、というシナリオは
あると言えばあるかな。basic認証+httpsなんてのは結構ありそうだ。
# とはいえ元コメの人は張り付いて毎度とんちんかんなコメしてるのでスルー推奨。
Re: (スコア:0)
NSAは実際その戦略で現在解読できない暗号も片端から保存していたはずです。
ですからツリー元の発言はそこまでおかしくありません。
Re: (スコア:0)
大昔にエッチな画像を見た暗号通信のデータが数十年後に解読されるわけですね。時効が長いものに関しては児童ポルノDVD名簿事件みたいに後から大量検挙できそう。
Re: (スコア:0)
いや、それ庇いきれてないでしょ。
暗号化方式の脆弱性の話なんだからパスワード変えようが何しようが脆弱性は残ったままだし
そもそもHTTPS通信の話なんだからパスワード関係ないし
ついでに終了しようがしまいが解析は出来るし
全部間違ってるぞ
Re: (スコア:0)
10年前にパスワード設定した時のパケットが、いまだにインターネットのどこかを漂っているのを心配しているとか
ボトルメールみたいにロマン溢れる話だｗ
Re: (スコア:0)
パスワード変えれば？w
ついでに (スコア:0)
ついでに、鍵交換でTLS_RSA_WITH_AES_なんちゃらが良くない
（WEAKだ、エフェメラルじゃない）
とか言われ、なんとかしようとしなのですが、
「:!kRSA」を「:HIGH」の後にでもつければいいんですかね？
「:HIGH」を「:!HIGH」にしたらいいかと思ったら、httpdが再起動しなかった。
Re: (スコア:0)
基本的に強い暗号化方式の後に弱い暗号化方式が選ばれるように設定されていれば良くてWEAKと判断される暗号化方式が存在すること自体は大丈夫です、ちゃんと順番は守られますので。
ただし、この暗号化スイートの順序が守られない脆弱性が出てきた場合は外す必要が出て来ますね
Re: (スコア:0)
「:HIGH」を「:!HIGH」にしたらいいかと思ったら、httpdが再起動しなかった。
httpd 「:!HIGH」「:!HIGH」「:!WAROS」「:!WAROS」
こうですねわかりますん
Re: (スコア:0)
当てずっぽうですが、 SSLHonorCipherOrder on ではないですか？
Re: (スコア:0)
今はそういう暗示的な表記ではなくて、許可する組み合わせを全パターン明示的に書くのが推奨
ここを見てくれ
https://mozilla.github.io/server-side-tls/ssl-config-generator/ [github.io]
常時SSL化はすでに果たしてるので (スコア:0)
Windows XPとガラケーは完全死亡と。ずいぶん思い切ったことするな