要約

  • Netscapeは1994年12月にCommerce ServerへSSLを組み込んだと発表し、後年の技術史はNavigator 1.0がSSL 2.0をサポートしたと記している。
  • SSL 3.0は1996年11月も期限切れのIETF Internet-Draftであり、安定した歴史的参照がRFC 6101として公開されたのは2011年だった。

最初の証拠は標準文書ではない。1994年12月、NetscapeはNavigator 1.0とNetsiteサーバー製品群を発表した。当時のプレスリリースは、Commerce ServerがRSA Data Securityの技術を基礎にしたSecure Sockets Layerを統合し、クライアントとサーバーの組み合わせでインターネット商取引を扱えると説明した。これは企業による発売時の説明で、独立した導入数の調査ではない。それでも、安定した規格記録が整う前にSSLが商用製品の一部として公開されたことを示す。

後年のNetscapeセキュリティコード史は、発売発表にはない版の情報を補う。Navigator 1.0のセキュリティコードはSSL 2.0のみをサポートし、Navigator 2.0でSSL 3.0が加わったという。また、同じコードがNetscape 2.0サーバーにも移植されたと記す。これは当事者側の技術回顧であり、出荷台数の記録ではない。日付のある発売資料と組み合わせて読む必要がある。

1995年の記録から、プロトコルは公開技術文書へ進む。保存された資料は、Kipp HickmanとTaher Elgamalによる「The SSL Protocol」を1995年6月のInternet-Draftとして示す。Mozillaのアーカイブにある2月版は、SSLをアプリケーションプロトコルに依存しない層として説明する。アプリケーションデータを送る前に、ハンドシェイクが暗号パラメーターを交渉し、サーバーを認証する。こうした文書は実装可能な振る舞いを記述するが、草案であることは承認済みのInternet Standardを意味せず、全実装の相互運用を保証もしない。

SSL 3.0では、この違いが明確に見える。IETF Datatrackerはdraft-ietf-tls-ssl-version3-00を期限切れのInternet-Draftとして掲載し、最終更新日を1996年11月21日、予定RFC状態を「なし」としている。本文の日付は11月18日だ。2011年、RFC 6101がこの版を歴史記録として公開した。その序文によれば、SSL 3.0は広く実装され、TLSの基礎にもなった一方、期限切れのInternet-Draftを除いてIETFから正式に公開されたことがなく、安定した引用先がなかった。RFC 6101は参照可能な記録を作ったのであり、SSL 3.0を遡って標準化したわけではない。

この経緯は、SSLに仕様がなかったという意味でも、標準化団体が不在だったという意味でもない。製品発表は企業が何を提供したかを示す。コード史はクライアント群が何を実装したかを報告する。草案は内容の検討と変更を可能にする。公開RFCは長期に参照できる文書と明確な位置づけを与える。どの記録も単独では、普遍的な導入や同一動作を証明しない。

導入はひとつの出来事ではない。動く実装は安定仕様より先に利用者を得ることがある。草案は相互運用を促しても、それを証明しない。後の歴史RFCは古いプロトコルを調べやすくしても、現在の安全性や利用を推奨しない。SSLでは、製品、作業文書、安定した参照先が別々の時期に登場した。