Como osa koordinoitua liikettä neljän tekniikan suurimman nimen joukossa, vanhat suojausprotokollat TLS 1.0 ja 1.1 poistetaan Safarista, Edestä, Internet Explorerista, Firefoxista ja Chromesta vuonna 2020.
Apple, Microsoft, Mozilla ja Google ovat ryhtyneet puhdistamaan Internet vanhoista ja viallisista protokollista ja huomauttaneet, että suurin osa ihmisistä on nyt siirtynyt TLS 1.2: een, ellei TLS 1.3: een.
Vaikka 94 prosenttia sivustoista on jo yhteensopivia version 1.2 kanssa, manipulointiaika seuraavien 18 kuukauden aikana antaa kaikille mahdollisuuden päästä kiinni.
Selainten Firefox, Chrome, Edge ja Safari kehittäjät varoittivat TLS 1.0- ja TLS 1.1 -protokollien tuen välittömästä lopettamisesta:
- Firefoxissa TLS 1.0 / 1.1 -tuki lopetetaan maaliskuussa 2020, mutta nämä protokollat poistetaan käytöstä aikaisemmin kokeiluversioissa ja öisin.
- Chromessa TLS 1.0 / 1.1 -tuki lopetetaan Google Chrome -versiosta 81, jonka odotetaan olevan tammikuussa 2020.
- Vaikka Google Chrome -versiossa 72, joka julkaistaan tammikuussa 2019, avattaessa TLS 1.0 / 1.1 -versiota käyttäviä sivustoja, näytetään erityinen varoitus vanhentuneen TLS-version käytöstä. Asetukset, joiden avulla TLS 1.0 / 1.1 -tuki voidaan palauttaa, säilyvät tammikuuhun 2021 saakka.
- Safarin verkkoselaimessa ja WebKit-moottorissa TLS 1.0 / 1.1: n tuki lopetetaan maaliskuussa 2020.
- Microsoft Edge -selaimessa ja Internet Explorer 11: ssä TLS 1.0: n ja TLS 1.1: n poistamisen odotetaan olevan vuoden 2020 ensimmäisellä puoliskolla.
TLS 1.0 -määritys julkaistiin tammikuussa 1999. Seitsemän vuotta myöhemmin julkaistiin TLS 1.1 -päivitys, joka sisälsi alustusvektoreiden ja inkrementaalisten täytevektoreiden luomiseen liittyviä turvallisuusparannuksia.
tällä hetkellä, Internet Engineering Task Force (IETF), joka osallistuu Internet-arkkitehtuurin ja -protokollien kehittämiseen, Se on jo julkaissut luonnos eritelmäksi, joka tekee TLS 1.0 / 1.1 -protokollista vanhentuneet.
20 vuoden jälkeen, jolloin se on edelleen olemassa, on yksi syy IETF: n odotetaan (Internet-suunnittelutyöryhmä) hylkää pöytäkirjat virallisesti myöhemmin tänä vuonna, vaikka ilmoitusta ei ole vielä tehty.
Suurin osa käyttäjistä ja palvelimista käyttää jo TLS 1.2+ -sovellusta
TLS 1.0 -versiota verkossa käyttävien pyyntöjen prosenttiosuus on 0,4% Chrome-käyttäjille ja 1% Firefox-käyttäjille.
Alexan arvioimasta miljoonasta suurimmasta sivustosta vain 2% on rajoitettu TLS 1.0: een ja 0.1% - TLS 1.1.
Cloudflare-tilastojen mukaan noin 9,3% Cloudflaren sisällön jakeluverkon kautta tehdyistä pyynnöistä tehdään TLS 1.0: lla. TLS 1.1: tä käytetään 0,2 prosentissa tapauksista.
SSL-datayrityksen mukaan Pulse Qualys TLS 1.2 -protokolla tukee 94% verkkosivustoista, mikä mahdollistaa turvallisen yhteyden asettamisen.
”Kaksi vuosikymmentä on pitkä aika, jotta turvallisuustekniikka pysyy muuttumattomana. Vaikka emme ole tietoisia merkittävistä haavoittuvuuksista päivitetyissä TLS 1.0- ja TLS 1.1 -ratkaisuissamme, on haavoittuvia kolmansien osapuolten toteutuksia ", Kyle sanoi. Pflug, Microsoft Edgen vanhempi ohjelmapäällikkö.
Mozilla-tiedot kerätty telemetrian avulla osoitteessa Firefox osoittaa, että vain 1.11% suojatuista yhteyksistä on luotu TLS 1.0 -protokollaa käyttäen. TLS 1.1: n tapauksessa tämä luku on 0.09%, TLS 1.2 - 93.12%, TLS 1.3 - 5.68%.
TLS 1.0 / 1.1: n pääkysymykset ovat tuen puute moderneille salauksille (esim. ECDHE ja AEAD) ja vaatimus tukea vanhoja salauksia, joiden luotettavuus kyseenalaistetaan tietokoneen kehityksen nykyisessä vaiheessa (esim. Tuki TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA on vaaditaan vahvistamaan).
Vanhojen algoritmien tuki on jo johtanut hyökkäyksiin, kuten ROBOT, DROWN, BEAST, Logjam ja FREAK.
Nämä ongelmat eivät kuitenkaan olleet suoraan protokollan haavoittuvuuksia, ja ne suljettiin niiden toteutuksen tasolla.
TLS 1.0 / 1.1 -protokollissa ei ole kriittisiä haavoittuvuuksia, joita voidaan käyttää käytännön hyökkäysten suorittamiseen.