Dans Firefox par dĂ©faut la prise en charge des protocoles TLS 1.0 et TLS 1.1 (le paramĂštre security.tls.version.min est dĂ©fini sur 3, Ă©tablissant TLS 1.2 comme version minimale). Dans les versions stables, TLS 1.0/1.1 devrait ĂȘtre dĂ©sactivĂ© en mars 2020. Dans Chrome, la prise en charge de TLS 1.0/1.1 cessera dans Chrome 81, prĂ©vu pour janvier 2020.
La spécification TLS 1.0 a été publiée en janvier 1999. Sept ans plus tard, une mise à jour, TLS 1.1, a été publiée avec des améliorations de sécurité liées à la génération de vecteurs d'initialisation et de remplissages supplémentaires. Actuellement, le comité IETF (Internet Engineering Task Force), qui travaille sur le développement des protocoles et de l'architecture Internet,
un projet de spécification, déclassant les protocoles TLS 1.0/1.1 comme obsolÚtes. Selon le service au 3 septembre, 95,8 % des sites Web supportant les connexions sécurisées prennent en charge le protocole TLS 1.2, tandis que TLS 1.3 en prend en charge 17,7 %. Les connexions via TLS 1.1 sont autorisées par 75,5 % des sites HTTPS, tandis que TLS 1.0 l'est par 65,5 %.
Les principaux problĂšmes de TLS 1.0/1.1 sont l'absence de prise en charge des algorithmes de chiffrement modernes (par exemple ECDHE et AEAD) et l'exigence de prise en charge d'anciens algorithmes dont la fiabilitĂ© est remise en question Ă l'heure actuelle (par exemple, le support de TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, oĂč MD5 et SHA-1 sont utilisĂ©s pour l'intĂ©gritĂ© et l'authentification). La prise en charge d'anciens algorithmes a dĂ©jĂ conduit Ă des attaques telles que
, , , et . NĂ©anmoins, ces problĂšmes n'Ă©taient pas directement des vulnĂ©rabilitĂ©s du protocole et Ă©taient rĂ©solus au niveau de leurs implĂ©mentations. Il n'y a pas de vulnĂ©rabilitĂ©s critiques dans les protocoles TLS 1.0/1.1 qui pourraient ĂȘtre utilisĂ©es pour mener des attaques pratiques.
Source : opennet.ru
