TLS 1.0 आणि 1.1 अधिकृतपणे नापसंत आहेत

इंटरनेट अभियांत्रिकी टास्क फोर्स (IETF), जे इंटरनेट प्रोटोकॉल आणि आर्किटेक्चर विकसित करते, RFC 8996 प्रकाशित केले आहे, अधिकृतपणे TLS 1.0 आणि 1.1 चे अवमूल्यन केले आहे.

TLS 1.0 तपशील जानेवारी 1999 मध्ये प्रकाशित झाले. सात वर्षांनंतर, TLS 1.1 अपडेट इनिशिएलायझेशन व्हेक्टर आणि पॅडिंगच्या निर्मितीशी संबंधित सुरक्षा सुधारणांसह जारी केले गेले. SSL पल्स सेवेनुसार, 16 जानेवारीपर्यंत, TLS 1.2 प्रोटोकॉलला 95.2% वेबसाइट्सद्वारे समर्थित आहे जे सुरक्षित कनेक्शन स्थापित करण्यास परवानगी देतात आणि TLS 1.3 - 14.2% ने. TLS 1.1 कनेक्शन 77.4% HTTPS साइट्सद्वारे स्वीकारले जातात, तर TLS 1.0 कनेक्शन 68% द्वारे स्वीकारले जातात. अलेक्सा रँकिंगमध्ये प्रतिबिंबित झालेल्या पहिल्या 21 हजार साइटपैकी अंदाजे 100% अजूनही HTTPS वापरत नाहीत.

TLS 1.0/1.1 च्या मुख्य समस्या म्हणजे आधुनिक सिफरसाठी समर्थन नसणे (उदाहरणार्थ, ECDHE आणि AEAD) आणि जुन्या सिफरला समर्थन देण्यासाठी आवश्यकतेची उपस्थिती, ज्याच्या विश्वासार्हतेवर विकासाच्या सध्याच्या टप्प्यावर प्रश्नचिन्ह आहे. संगणकीय तंत्रज्ञानाचे (उदाहरणार्थ, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA साठी समर्थन अखंडता तपासणी आणि प्रमाणीकरणासाठी आवश्यक आहे MD5 आणि SHA-1 वापरले जातात). कालबाह्य अल्गोरिदमच्या समर्थनामुळे आधीच ROBOT, DROWN, BEAST, Logjam आणि FREAK सारखे हल्ले झाले आहेत. तथापि, या समस्या थेट प्रोटोकॉल असुरक्षा मानल्या गेल्या नाहीत आणि त्याच्या अंमलबजावणीच्या स्तरावर सोडवल्या गेल्या. TLS 1.0/1.1 प्रोटोकॉलमध्ये स्वतःच गंभीर असुरक्षा नसतात ज्यांचा व्यावहारिक हल्ले करण्यासाठी उपयोग केला जाऊ शकतो.

स्त्रोत: opennet.ru