スモールビジネスのIT日誌

• (2016-08-20 06:53:54)

クレジット決済会社から5月くらいにSSL3.0廃止とTLS1.2導入の「最終通告」がきた。

SSL3.0の脆弱性

この通知は昨年から何度か来ていたらしいが、見過ごしていた。なんでもSSL3.0に脆弱性が見つかり、TLS1.2に移行するそうだ。また、同時にサーバ証明書の暗号化方式をSHA-1からSHA-2に上げるとのこと。

TLS1.2の影響

その影響は当社の決済サーバがこれらをサポートしていなければ、通信ができなくなり、クレジット決済ができなくなることを意味する。

また、顧客のブラウザも同様にサポートしなければ同じ結果になるとのこと。サーバレベルはその道の専門の業者さんがやるので問題ないが、顧客への周知とサポートは煩わしいと予想された。

SHA-2のサポートは比較的古いブラウザでもできているので、今回は問題になりにくいと感じている。

すぐに影響が出る

6月以降、「決済画面が表示されない」や「決済画面に行けない」といった問い合わせなどが来るようになった。全クレジット決済数の5%程度がこのトラブルを体験している模様。

ブラウザを最新バージョンにアップデートしていただくと解決する可能性があることをお知らせするが、アップデート自体をできない人も多い。そういう人の多くはブラウザの種類やバージョンを聞くことさえ難儀だ。

各ブラウザの対応状況

代表的なブラウザのTLS1.2対応をしらべてみた：

・IE・・・11以上(8以上でも対応するがデフォルトではTLS1.2は無効化されている)
・Chrome・・・30以上
・FireFox・・・27以上(24以上でも対応するがデフォルトではTLS1.2は無効化されている)
・Safari・・・7以上

※デフォルトでTLS1.2が無効化されている場合は有効化の設定が必要。設定方法はたとえば、IEの場合

[ツール] → [インターネットオプション] →
[詳細設定] → [TSL1.2の使用]にチェックを入れる

時代の流れとはいえ、どんどん通信環境が変化する。変化するたびに対応を迫られ大きな負担になる。

自分のことならまだしも、ITリテラシーが高くないユーザーに対応する負担もあるが、丁寧かつ、わかりやすく、ユーザーにとって最低労力で対応してもらえる工夫もサービスサイドには求められる。