Кomo часть скоординированного движения среди четырех крупнейших компаний в сфере технологий, старые протоколы безопасности TLS 1.0 и 1.1 будут удалены в Safari, Edge, Internet Explorer, Firefox и Chrome в 2020 году.
Apple, Microsoft, Mozilla и Google объединились, чтобы очистить Интернет от этих старых и неисправных протоколов, отметив, что большинство людей теперь перешли на TLS 1.2, если не на TLS 1.3.
Хотя 94 процента сайтов уже совместимы с версией 1.2., период манипуляций в течение следующих 18 месяцев даст каждому шанс наверстать упущенное.
Разработчики браузеров Firefox, Chrome, Edge и Safari предупредили о скором прекращении поддержки протоколов TLS 1.0 и TLS 1.1:
- В Firefox поддержка TLS 1.0 / 1.1 будет прекращена в марте 2020 года, но эти протоколы будут отключены раньше в пробной и ночной версиях.
- В Chrome поддержка TLS 1.0 / 1.1 будет прекращена с версии Google Chrome 81, которая ожидается в январе 2020 года.
- В то время как в Google Chrome версии 72, которая будет выпущена в январе 2019 года, при открытии сайтов с TLS 1.0 / 1.1 будет отображаться специальное предупреждение об использовании устаревшей версии TLS. Настройки, позволяющие вернуть поддержку TLS 1.0 / 1.1, сохранятся до января 2021 года.
- В веб-браузере Safari и движке WebKit поддержка TLS 1.0 / 1.1 будет прекращена в марте 2020 года.
- В веб-браузере Microsoft Edge и Internet Explorer 11 удаление TLS 1.0 и TLS 1.1 ожидается в первой половине 2020 года.
Спецификация TLS 1.0 была выпущена в январе 1999 года. Семь лет спустя было выпущено обновление TLS 1.1 с улучшениями безопасности, связанными с генерацией векторов инициализации и векторов инкрементного заполнения.
В настоящее время, Инженерная группа Интернета (IETF), которая участвует в разработке протоколов и архитектуры Интернета, Он уже опубликовал черновой вариант спецификации, в котором протоколы TLS 1.0 / 1.1 считаются устаревшими.
Спустя 20 лет, в течение которых он все еще стоит, одна из причин, по которой IETF, как ожидается, (Инженерная группа Интернета) официально отменить протоколы позже в этом году, хотя об этом еще не было сделано.
Подавляющее большинство пользователей и серверов уже используют TLS 1.2+.
Процент запросов с использованием TLS 1.0 в Интернете составляет 0,4% для пользователей Chrome и 1% для пользователей Firefox.
Из 2 миллиона крупнейших сайтов, оцененных Alexa, только 1.0% ограничены TLS 0.1 и 1.1% - TLS XNUMX.
Согласно статистике Cloudflare, примерно 9,3% запросов через сеть доставки контента Cloudflare выполняются с использованием TLS 1.0. TLS 1.1 используется в 0,2% случаев.
По данным компании, предоставляющей услуги передачи данных SSL, протокол Pulse Qualys TLS 1.2 поддерживает 94% веб-сайтов, что позволяет устанавливать безопасное соединение.
«Два десятилетия - это долгий срок, чтобы технология безопасности оставалась неизменной. «Хотя мы не знаем о серьезных уязвимостях в наших обновленных реализациях TLS 1.0 и TLS 1.1, существуют уязвимые сторонние реализации», - сказал Кайл. Пфлуг, старший менеджер программ в Microsoft Edge.
Данные Mozilla, собранные с помощью телеметрии на Firefox показывает, что только 1.11% безопасных соединений были установлены с использованием протокола TLS 1.0. Для TLS 1.1 этот показатель составляет 0.09%, для TLS 1.2 - 93.12%, для TLS 1.3 - 5.68%.
Основные проблемы с TLS 1.0 / 1.1 - это отсутствие поддержки современных шифров (например, ECDHE и AEAD) и требование поддержки старых шифров, надежность которых ставится под сомнение на текущем этапе разработки компьютера (например, поддержка TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA является требуется для проверки).
Поддержка устаревших алгоритмов уже привела к таким атакам, как ROBOT, DROWN, BEAST, Logjam и FREAK.
Однако эти проблемы не были непосредственно уязвимостями протокола и были закрыты на уровне их реализации.
В протоколах TLS 1.0 / 1.1 отсутствуют критические уязвимости, которые можно использовать для проведения практических атак.