2014年に世界中を震撼させたOpenSSLの脆弱性「Heartbleed」が発見されて以来、SSL 3.0やTLS 1.0/1.1といった旧バージョンの暗号化プロトコルからTLS 1.2へと移行する動きは加速しているが、「アプリケーションがTLS 1.2に対応していないから」「移行プロセスの負荷が大きいから」という理由で、これらのふるいプロトコルをいまだに受け入れているサイトは少なくない。こうした状況をより下のレイヤから改善する一助として、Debianプロジェクトが動きを見せた。
8月9日、DebianプロジェクトのOpenSSLメンテナーであるKurt Roeckxは開発者向けメーリングリストに「OpenSSL disables TLS 1.0 and 1.1」というタイトルで投稿、TLS 1.0/1.1を無効にしたOpenSSLをアップロードしたことを明らかにしている。つまり、開発中のUnstable版ではTLS 1.2以外のSSL/LTSプロトコルは認めない方針を打ち出したことになる。
- OpenSSL disables TLS 1.0 and 1.1
Roeckxは「どんな理由があるにせよ、"TLS 1.2をサポートしてないから"という言い訳はこれで通用しなくなると思っている。もし"（アプリケーションが）TLS 1.2をサポートしてない"というなら、自分でサポートするか、サポートするために何かすることを強く推奨する」とコメントしており、TLS 1.2を実装したOpenSSLが登場してから5年以上も経つのに、いまだにふるいバージョンから移行しようとしない向きを強く牽制している。Roeckxはメールの最後で「Buster（次期バージョンのDebian 10）のリリースまでには、僕がこんな作業をしなくても、TLS 1.2が十分にサポートされていることを願っている」と述べているが、そのころにはより安全なプロトコル - TLS 1.3などが登場している可能性もある。安全性を高め、プロトコルや暗号アルゴリズムの移行をスムースに進めるためにも、TLS 1.2への移行は早急に完了させておきたい。
