TLS 1.0 आणि 1.1 अधिकृतपणे नापसंत आहेत

इंटरनेट अभियांत्रिकी टास्क फोर्स (IETF), जे इंटरनेट प्रोटोकॉल आणि आर्किटेक्चर विकसित करते, RFC 8996 प्रकाशित केले आहे, अधिकृतपणे TLS 1.0 आणि 1.1 चे अवमूल्यन केले आहे.

जानेवारी १९९९ मध्ये TLS १.० स्पेसिफिकेशन प्रकाशित झाले. सात वर्षांनंतर, TLS १.१ इनिशिएलायझेशन व्हेक्टर आणि पॅडिंगच्या निर्मितीशी संबंधित सुरक्षा सुधारणांसह रिलीज करण्यात आले. सेवेनुसार SSL १६ जानेवारीपर्यंत, पल्सला असे आढळून आले की सुरक्षित कनेक्शनला समर्थन देणाऱ्या ९५.२% वेबसाइट्स TLS १.२ ला समर्थन देतात, तर १४.२% TLS १.३ ला समर्थन देतात. ७७.४% HTTPS साइट्स TLS १.१ कनेक्शनला समर्थन देतात, तर ६८% TLS १.० ला समर्थन देतात. अलेक्साने रँक केलेल्या टॉप १००,००० साइट्सपैकी अंदाजे २१% अजूनही HTTPS वापरत नाहीत.

TLS 1.0/1.1 च्या मुख्य समस्या म्हणजे आधुनिक सिफरसाठी समर्थन नसणे (उदाहरणार्थ, ECDHE आणि AEAD) आणि जुन्या सिफरला समर्थन देण्यासाठी आवश्यकतेची उपस्थिती, ज्याच्या विश्वासार्हतेवर विकासाच्या सध्याच्या टप्प्यावर प्रश्नचिन्ह आहे. संगणकीय तंत्रज्ञानाचे (उदाहरणार्थ, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA साठी समर्थन अखंडता तपासणी आणि प्रमाणीकरणासाठी आवश्यक आहे MD5 आणि SHA-1 वापरले जातात). कालबाह्य अल्गोरिदमच्या समर्थनामुळे आधीच ROBOT, DROWN, BEAST, Logjam आणि FREAK सारखे हल्ले झाले आहेत. तथापि, या समस्या थेट प्रोटोकॉल असुरक्षा मानल्या गेल्या नाहीत आणि त्याच्या अंमलबजावणीच्या स्तरावर सोडवल्या गेल्या. TLS 1.0/1.1 प्रोटोकॉलमध्ये स्वतःच गंभीर असुरक्षा नसतात ज्यांचा व्यावहारिक हल्ले करण्यासाठी उपयोग केला जाऊ शकतो.

स्त्रोत: opennet.ru