Die Internet Engineering Task Force (IETF), wat internetprotokolle en argitektuur ontwikkel, het RFC 8996 gepubliseer, wat TLS 1.0 en 1.1 amptelik afgekeur het.
Die TLS 1.0-spesifikasie is in Januarie 1999 gepubliseer. Sewe jaar later is die TLS 1.1-opdatering vrygestel met sekuriteitsverbeterings wat verband hou met die generering van inisialiseringsvektore en opvulling. Volgens die SSL Pulse-diens word die TLS 16-protokol vanaf 1.2 Januarie ondersteun deur 95.2% van webwerwe wat die vestiging van veilige verbindings moontlik maak, en TLS 1.3 - met 14.2%. TLS 1.1-verbindings word deur 77.4% van HTTPS-werwe aanvaar, terwyl TLS 1.0-verbindings deur 68% aanvaar word. Ongeveer 21% van die eerste 100 duisend werwe wat in die Alexa-ranglys weerspieΓ«l word, gebruik steeds nie HTTPS nie.
Die hoofprobleme van TLS 1.0/1.1 is die gebrek aan ondersteuning vir moderne syfers (byvoorbeeld ECDHE en AEAD) en die teenwoordigheid in die spesifikasie van 'n vereiste om ou syfers te ondersteun, waarvan die betroubaarheid in die huidige stadium van ontwikkeling bevraagteken word van rekenaartegnologie (byvoorbeeld, ondersteuning vir TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA word vereis vir integriteitkontrolering en stawing MD5 en SHA-1 word gebruik). Ondersteuning vir verouderde algoritmes het reeds gelei tot aanvalle soos ROBOT, DROWN, BEAST, Logjam en FREAK. Hierdie probleme is egter nie direk as protokolkwesbaarhede beskou nie en is op die vlak van die implementering daarvan opgelos. Die TLS 1.0/1.1-protokolle self het nie kritieke kwesbaarhede wat uitgebuit kan word om praktiese aanvalle uit te voer nie.
Bron: opennet.ru