Em Firefox padrão suporte aos protocolos TLS 1.0 e TLS 1.1 (a configuração security.tls.version.min está definida para 3, estabelecendo o TLS 1.2 como versão mínima). Nos lançamentos estáveis, o TLS 1.0/1.1 será desativado em março de 2020. No Chrome, o suporte ao TLS 1.0/1.1 será encerrado no Chrome 81, que está previsto para janeiro de 2020.
A especificação TLS 1.0 foi publicada em janeiro de 1999. Sete anos depois, foi lançada a atualização TLS 1.1 com melhorias de segurança relacionadas à geração de vetores de inicialização e preenchimento adicional. Atualmente, o comitê IETF (Internet Engineering Task Force), que se ocupa do desenvolvimento de protocolos e arquitetura da internet,
um rascunho da especificação, que classifica os protocolos TLS 1.0/1.1 como obsoletos. De acordo com o serviço em 3 de setembro, o protocolo TLS 1.2 é suportado por 95.8% dos sites que permitem conexões seguras, enquanto o TLS 1.3 é suportado por 17.7%. As conexões via TLS 1.1 são permitidas por 75.5% dos sites HTTPS, e o TLS 1.0 por 65.5%.
Os principais problemas do TLS 1.0/1.1 são a ausência de suporte para algoritmos modernos de criptografia (como ECDHE e AEAD) e a exigência de suporte para algoritmos antigos, cuja confiabilidade é questionada na atual fase de desenvolvimento da computação (por exemplo, exige-se suporte para TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, onde MD5 e SHA-1 são utilizados para integridade e autenticação). O suporte a algoritmos obsoletos já levou ao surgimento de ataques como
, , , e . No entanto, esses problemas não eram diretamente vulnerabilidades do protocolo e foram abordados no nível de suas implementações. Nos próprios protocolos TLS 1.0/1.1 não há vulnerabilidades críticas que possam ser exploradas para ataques práticos.
Fonte: opennet.ru
