SSL 3.0 の脆弱性 （POODLE） の件で、10月に下記の記事を書いたんですが、その中でも触れた、各主要ブラウザにおける SSL 3.0 無効化タイミングだけ、わかりやすいように抜き出してこちらにまとめておこうと思います。メモ代わり。
Internet Explorer
SSL 3.0 が無効になる時期： 正式な時期は不明だが、数ヶ月以内 米国時間の 2015年 4月 14日以降、デフォルトで無効に。
「マイクロソフト セキュリティ アドバイザリ 3009008」 内では、下記の通り、（10月 15日から起算して） 数ヶ月以内に IE の既存設定 （および同社のオンラインサービス） で SSL 3.0 が無効になる旨がアナウンスされています。
マイクロソフトは、今後数か月間の間に、Internet Explorer の既定設定、およびマイクロソフト オンラインサービスで SSL 3.0 が無効になることをお知らせします。マイクロソフトは、お客様が、クライアントおよびサービスを TLS 1.0、TLS 1.1、あるいはTLS 1.2 などのより安全なセキュリティ プロトコルに移行することを推奨します。
IE の場合は他のブラウザと異なり、新バージョンがリリースされてという感じではなく、Windows Update で変更が適用される形になりますので、Windows Update による自動更新を有効にしていれば、アナウンスの通り、IE の既存設定で自動的に SSL 3.0 が無効になるものと思われます。
なお、2014 年 10月 15日の時点で、Fix it （Microsoft Fix it 51024） が公開されていますので、必要に応じてすぐに無効にもできます。
Fix it を使わず、設定から無効にする場合は、インターネットオプション内の詳細設定から、SSL 3.0 のチェックを外せばいいだけですので個人で使っている場合などはこの方法で。
2015-02-12 追記
Microsoft セキュリティーチームが SSL 3.0 の脆弱性 （所謂、POODLE） への対処として、2015年 4月以降、IE11 における SSL 3.0 をデフォルト無効にすると発表しました （参考記事）。
Google Chrome
SSL 3.0 が無効になる時期： 11月中にフォールバック機能が無効 （Chrome 39）。来年 1月にはデフォルト無効 （Chrome 40）。
Chrome 39 で SSL 3.0 へのフォールバック機能をデフォルトで無効化 （TLS_FALLBACK_SCSV / TLS で接続失敗したときに SSL 3.0 で再試行することを防ぐ）、Chrome 40 では SSL 3.0 を完全に無効化という計画になっています。実際に Beta リリースされている Chrome 39 ではすでに SSL 3.0 へのフォールバック機能が無効になっている事が確認できます。
なお、Chrome 39 では、SSL 3.0 のみをサポートしたサーバに関しては接続はできるものの、鍵アイコンの部分に黄色いアイコンが表示 （軽微なエラー、例えばよくあるのだと SSL / 非 SSL コンテンツの混在などがある場合に出るやつ） されて、警告するとのこと。
安定版のリリース時期ですが、6週間ごとのリリースサイクルで考えると、Chrome 39 が今月、11月中 （20日前後）、Chrome 40 が来年の 1月 （ホリデーシーズンが終わった直後くらい） リリースと予想されます。
2015-02-12 追記
Chrome 39 がリリースされ、SSL 3.0 へのフォールバック機能がデフォルトで無効になりました （参考記事）。その後、Chrome 40 も正式リリースされ、予定通り SSL 3.0 がデフォルトで無効になっています。
おまけ： SHA-1 サポートの廃止関連
別件ですが、Chrome 39 では Google が発表した SHA-1 サポートの段階的廃止計画に伴い、有効期限が 2017年 1月 1日以降の SHA-1 証明書を使用しているサーバへの接続時、鍵アイコンの部分に黄色いアイコンが表示され、警告するようになります。
その後、Chrome 40、41 と SHA-1 証明書の有効期限によってステータス表示が変更されていくという話なのですが、近日リリースされるバージョンから、証明書自体には問題がないのに Chrome では警告が出ることになりますので、サーバ管理者としては対応するしかなく、証明書のリプレース作業等に追われる方も多そう...... といっても有効期限が多く残ってると泣ける。
この辺について詳しくは下記のリンク先をどうぞ。
- Gradually sunsetting SHA-1 ： Google Online Security Blog
- （参考） Google、「SHA-1」サポート中止のスケジュールを発表 ： ITmedia エンタープライズ
- （参考） ChromeのSHA1証明書のアラート表示ポリシの問題点 ： 自堕落な技術者の日記
Firefox
SSL 3.0 が無効になる時期： 2014年 12月 1日正式リリース予定の Firefox 34 でデフォルト無効に。
Mozilla は下記のように発表し、Firefox 34 （現在 Beta チャンネル / 2014年 12月 1日正式リリース予定） で、SSL 3.0 をデフォルトで無効にするとしています。Google Chrome とは異なり、いきなり無効化です。
SSLv3 will be disabled by default in Firefox 34, which will be released on Nov 25. The code to disable it is landing today in Nightly, and will be promoted to Aurora and Beta in the next few weeks. This timing is intended to allow website operators some time to upgrade any servers that still rely on SSLv3.
The POODLE Attack and the End of SSL 3.0 ： Mozilla Security Blog から引用
上記の引用元では 「11月 25日にリリースされる Firefox 34」 と書かれているんですが、リリース予定を確認したら 12月 1日でしたので、本文も直しました。
ちなみに、Firefox の各バージョンリリース予定日は下記で確認できます。
2015-02-12 追記
Firefox 34 がリリースされ、予定通り SSL 3.0 がデフォルトで無効になっています （参考記事）。
Opera
SSL 3.0 が無効になる時期： 正式リリース済みの Opera 25 でフォールバック機能は無効。デフォルト無効時期は不明。
Opera も Chrome 同様に Opera 25 （正式リリース済み） で TLS_FALLBACK_SCSV に対応しているのと、独自に 「anti poodle record splitting」 という対策も行っています。
また、これも Chrome と同様の対応ですが、Opera 25 以降では、SSL 3.0 のみをサポートしたサーバに関しては接続はできるものの、SSL で保護されている事を示す鍵アイコンの表示をしないとのこと （つまり通常の http 接続時と同じ状態になる）。
完全に SSL 3.0 が無効になるタイミングについては探してみましたがそれに触れた記事などもなかったので不明です。
Safari
SSL 3.0 が無効になる時期： 不明
よくわからん。下記のアップデートあたりで、POODLE に対応しましたとアナウンスされているのですが、内容的には CBC （ブロック暗号化） の無効化って話なので根本的な対策にはなっていないと思われます。
他ブラウザのような、Safari における SSL 3.0 のサポートに関する話が、私が探した限りでは公式には出ていないようでしたので、ちょっとどうなってるのかわかりませんでした。
Notification Service で SSL 3.0 のサポートやめるって話は出てきたんですけね。
以上です。
追記
NSS （Network Security Services） における SSL 3.0 のサポートについてコメント欄にて R SATO 氏より参考情報いただきました。ありがとうございます。
NSS は Firefox や Chrome でも使用されている SSL 通信関連のライブラリですが、こちらは同ライブラリが利用されている多くのソフトウェアへの影響を考慮して、SSL 3.0 のデフォルト無効化は、2015年 4月 1日以降にリリースされるバージョンからということに決めたそうです。
