Apple will disable insecure TLS in future iOS, macOS releases
2021/09/22 BleepingComputer — Apple は、最近リリースした iOS および macOS において、安全性の低い TLS (Transport Layer Security) 1.0／1.1 プロトコルを非推奨とし、今後のリリースではサポートを完全に削除する予定だという。TLS は、クライアント／サーバー・アプリケーションを使用して、インターネットを介して情報にアクセスする際などに、メッセージの盗聴／改竄／偽造からユーザーを保護するために設計された、セキュアな通信プロトコルである。
オリジナルの TLS 1.0 仕様と、その後継である TLS 1.1 仕様は、約20年前から使用されている (TLS 1.0 が定義されたのは 1999年で、TLS 1.1 は 2006年) 。Internet Engineering Task Force (IETF) は、４年間の議論と 28のプロトコル・ドラフトを経て、2018年3月に TLS 次期メジャーバージョンである TLS 1.3 を承認した。
TLS 1.0/1.1 の非推奨アップデート
Apple は、「プラットフォームを近代化し、セキュリティと信頼性を向上させるための継続的な取り組みの一環として、TLS 1.0／1. 1 は、2021年3月25日付で により非推奨となった。したがって、それらのバージョンは、iOS 15／iPadOS 15／macOS 12／watchOS 8／tvOS 15 で、Apple のプラットフォームとしても非推奨となり、今後のリリースでサポートが削除される予定だ」と述べている。
同社は、依然としてレガシー TLS プロトコルを使用しているアプリ・デベロッパーに対して、近い将来に TLS 1.2 以上への移行を計画し始めるようアドバイスしている。すべての接続で AppTransport Security (ATS) ネットワーク・セキュリティ機能を使用するアプリの場合 (iOS9.0 または macOS 10.11 SDK 以降にリンクされているアプリではデフォルトで有効) は、すべての接続が信頼できる TLS 証明書と暗号で保護されている必要があり、アクションは不要となる。
Apple は、最新の TLS バージョン・サポートに加えて、アプリから非推奨のSecurity.framework シンボルを削除することで、TLS 1.2 よりも高速で安全なプロトコルである、TLS 1.3 へと切り替えることを推奨している。
• tls_protocol_version_t.TLSv10
• tls_protocol_version_t.TLSv11
• tls_protocol_version_t.DTLSv10
時代遅れの TLS プロトコルからの脱却へ向けた継続的な取り組み
Apple のアップデートは、2018年10月の Microsoft／Google／Apple／Mozilla による共同発表に続くものであり、これらの４つの組織は 2020年前半から、安全ではない TLS プロトコルの退役を開始するとしている。
2020年8月に Microsoft は、最新の Windows 10 Insider ビルドにおいて、TLS 1.3 をデフォルトで有効にしている。Microsoft は、「TLS 1.3 は、古くなった暗号アルゴリズムを排除し、古いバージョンよりもセキュリティを強化し、ハンドシェイクを可能な限り暗号化することを目的としている」と述べている。
2021年1月に NSA は、古いバージョンの TLS プロトコルを検出し、最新の安全なバージョンに置き換えるためのガイダンスを発表した。NSA は、「旧式の設定は、パッシブな復号化や、中間者攻撃によるトラフィック変更などの手法により、敵対者に機密性の高い業務トラフィックへのアクセスを許してしまう。攻撃者は、古い TLS プロトコルの設定を悪用して、ほとんどスキルを必要とせずに、機密データにアクセスできる」と述べている。
先日、ある取引先から、今後は TLS 1.3 のみになりますという、ご連絡をいただきましたが、レガシー TLS プロトコルからの脱却は、いろんな所で進んでいるようです。9月15日に、「Kali Linux 2021.3 のペンテスト能力：OpenSSL/VM 対応を強化」という記事をポストしましたが、そこには「大半の Linux ディストリビューションでは、 TLS 1.0 / TLS 1.1 などを無効にしている。しかし、Kali Linux はペネトレーション・テスト用のディストリビューションであるため、すべてのプロトコルを有効にしいる」と記されていました。すべてが TLS 1.3 に移行し、テストの負担が減ると良いですね。
IoT OT Security News 