TLS 1.0 ແລະ 1.1 ຖືກຍົກເລີກຢ່າງເປັນທາງການ

ໜ່ວຍງານວິສະວະກຳອິນເຕີເນັດ (IETF), ເຊິ່ງພັດທະນາໂປຣໂຕຄໍ ແລະສະຖາປັດຕະຍະກຳອິນເຕີເນັດ, ໄດ້ເຜີຍແຜ່ RFC 8996, ຍົກເລີກ TLS 1.0 ແລະ 1.1 ຢ່າງເປັນທາງການ.

ຂໍ້ມູນຈໍາເພາະຂອງ TLS 1.0 ໄດ້ຖືກຈັດພີມມາໃນເດືອນມັງກອນ 1999. ເຈັດປີຕໍ່ມາ, ການປັບປຸງ TLS 1.1 ໄດ້ຖືກປ່ອຍອອກມາໂດຍການປັບປຸງຄວາມປອດໄພທີ່ກ່ຽວຂ້ອງກັບການຜະລິດ vectors ເບື້ອງຕົ້ນແລະ padding. ອີງຕາມການບໍລິການ SSL Pulse, ມາຮອດວັນທີ 16 ມັງກອນ, ໂປໂຕຄອນ TLS 1.2 ໄດ້ຮັບການສະຫນັບສະຫນູນຈາກ 95.2% ຂອງເວັບໄຊທ໌ທີ່ອະນຸຍາດໃຫ້ສ້າງການເຊື່ອມຕໍ່ທີ່ປອດໄພ, ແລະ TLS 1.3 - ໂດຍ 14.2%. ການເຊື່ອມຕໍ່ TLS 1.1 ໄດ້ຮັບການຍອມຮັບໂດຍ 77.4% ຂອງເວັບໄຊທ໌ HTTPS, ໃນຂະນະທີ່ການເຊື່ອມຕໍ່ TLS 1.0 ໄດ້ຮັບການຍອມຮັບ 68%. ປະມານ 21% ຂອງ 100 ພັນເວັບໄຊທ໌ທໍາອິດທີ່ສະທ້ອນໃຫ້ເຫັນໃນການຈັດອັນດັບ Alexa ຍັງບໍ່ໃຊ້ HTTPS.

ບັນຫາຕົ້ນຕໍຂອງ TLS 1.0/1.1 ແມ່ນການຂາດການສະຫນັບສະຫນູນສໍາລັບລະຫັດລັບທີ່ທັນສະໄຫມ (ຕົວຢ່າງ, ECDHE ແລະ AEAD) ແລະການປະກົດຕົວໃນຂໍ້ກໍານົດຂອງຂໍ້ກໍານົດເພື່ອສະຫນັບສະຫນູນລະຫັດເກົ່າ, ຄວາມຫນ້າເຊື່ອຖືທີ່ຖືກຖາມຢູ່ໃນຂັ້ນຕອນຂອງການພັດທະນາໃນປະຈຸບັນ. ເຕັກໂນໂລຊີຄອມພິວເຕີ (ຕົວຢ່າງ, ສະຫນັບສະຫນູນ TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA ແມ່ນຈໍາເປັນສໍາລັບການກວດສອບຄວາມຖືກຕ້ອງແລະການກວດສອບຄວາມຖືກຕ້ອງ MD5 ແລະ SHA-1). ການສະຫນັບສະຫນູນລະບົບສູດການຄິດໄລ່ທີ່ລ້າສະໄຫມໄດ້ນໍາໄປສູ່ການໂຈມຕີເຊັ່ນ ROBOT, DROWN, BEAST, Logjam ແລະ FREAK. ຢ່າງໃດກໍ່ຕາມ, ບັນຫາເຫຼົ່ານີ້ບໍ່ໄດ້ຖືກພິຈາລະນາໂດຍກົງເຖິງຄວາມອ່ອນແອຂອງໂປໂຕຄອນແລະໄດ້ຮັບການແກ້ໄຂໃນລະດັບການປະຕິບັດຂອງມັນ. ໂປໂຕຄອນ TLS 1.0/1.1 ຕົວເອງຍັງຂາດຊ່ອງໂຫວ່ທີ່ສໍາຄັນທີ່ສາມາດຖືກຂູດຮີດເພື່ອປະຕິບັດການໂຈມຕີຕົວຈິງ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru