企業におけるTLS 1.3の導入

F5

昨年8月に新しいTransport Layer Security（TLS）1.3仕様がIETFによって公開されたことを受け、多くの組織がこの新規格の導入計画を検討しています。F5はEnterprise Management Associatesに調査プロジェクトを委託し、暗号化の利用が全般的に拡大する中で、企業がどのように対応しているかを詳しく調査しました。一部の業界団体は、TLS 1.3を使用したトラブルシューティングやマルウェアの可能性を調査するために、トラフィックを復号して検査できるかどうかについて深刻な懸念を表明しています。一方、今回の調査では、回答者のかなりの割合がすでにTLS 1.3の有効化を進めているか、近く有効化する予定であることが分かりました。また、回答者の明確な過半数がTLS 1.3について技術的な知識を持っていると回答したことも、好ましい兆候です。

新規格の早期導入計画を後押ししている要因は複数あります。その1つは、主要なWebサーバーおよびブラウザベンダーが、すでに自社製品にTLS 1.3を実装していることです。もう1つは、TLS 1.3の機能強化によって、プライバシーとエンドツーエンドのデータセキュリティが向上すると期待されていることです。TLSなどの暗号化プロトコルは、攻撃者によるデータの盗聴や改ざんの防止に役立ちます。一方で、アプリケーションセキュリティの監視に関する懸念から、慎重な対応を求める声もあります。

インターネット上での暗号化の利用は、ここ数年で大幅に増加しています。F5 Labs 2017 TLSテレメトリレポートによると、現在ではWebページの81%がHTTPS経由で読み込まれています。過去18か月間では、データセンターと企業ネットワークにおける暗号化の利用が最も大きく増加しましたが、今後18か月間は、企業が社内開発のアプリケーションとWebサービスに注目するようになります。

TLS 1.3仕様がもたらす影響を踏まえ、回答者の明確な過半数が、組織内でのTLS 1.3導入について運用面とセキュリティ面の両方に懸念を示しました。調査では、全回答者の56%が運用面について一定または重大な懸念を示し、61%がセキュリティ面について一定または重大な懸念を示したことが明らかになりました。

図1：TLS 1.3の導入に関する運用上およびセキュリティ上の懸念の程度

セキュリティ上の最大の懸念事項は、アプリケーションセキュリティとデータセンターの可視性でした。回答者の57%が、アプリケーションセキュリティを監視できないことを最大の懸念事項として挙げています。

図2：アプリケーションセキュリティの可視性喪失が最大の懸念事項

何を懸念しているのでしょうか？

正規のトラフィックに潜む悪意のある挙動を見逃すことです。まったく懸念していないと回答したのは、わずか6%でした。

図3：暗号化されるネットワークトラフィックが増える中、暗号化ファイルに潜むマルウェアを既存のセキュリティ監視手法や技術で見逃すことについて、組織としてどの程度懸念していますか？

こうした懸念があるにもかかわらず、後戻りはできません。企業はポリシーとして、データを保護するために転送時の暗号化を明確に義務付けており、そのプロトコルにはTLSが選ばれています。

組織がTLS 1.3の導入にどのように対応し、どのような戦略、ポリシー、運用方法、懸念事項があるのかについては、レポート全文「企業におけるTLS 1.3導入レポート」をご覧ください。

著者について

F5

F5のその他のブログ記事