Przestarzałe wersje TLS (1.0 i 1.1)

Które wersje protokołu serwer wciąż akceptuje. TLS 1.0 i 1.1 są wycofane i odrzucane przez każdą przeglądarkę; wersji, której sam skaner nie obsłuży, nie zgadujemy.

• Pomoc

TLS to protokół, na którym działa HTTPS, i ma kilka wersji. TLS 1.0 i 1.1 zostały formalnie wycofane w RFC 8996 w 2021 roku: wszystkie główne przeglądarki je wyłączyły, a audyt kart płatniczych PCI DSS na nich nie przechodzi. TLS 1.2 to bezpieczne minimum, a TLS 1.3 — aktualna wersja z szybszym uzgadnianiem połączenia i wyłącznie nowoczesnymi szyframi.

Jak sprawdza to SiteScan

Oprócz zwykłego połączenia skaner próbuje osobnych uzgodnień wymuszających TLS 1.0 oraz TLS 1.1. Jeśli serwer dokończy którekolwiek z nich, wiersz pojawia się na czerwono i wymienia przyjęte przestarzałe wersje. Jeśli żadne się nie uda, wiersza nie ma: odmowa mogła pochodzić z biblioteki TLS samego skanera, a nie z serwera, więc nie jest traktowana jako dowód. Wersja faktycznie użyta w połączeniu widnieje jako fakt w sekcji „Technologia”.

Jak to naprawić

Zezwól tylko na nowoczesne wersje:

• nginx: ssl_protocols TLSv1.2 TLSv1.3;
• Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3
• Za CDN lub load balancerem ustaw minimalną wersję TLS 1.2 w jego ustawieniach — konfiguracja serwera źródłowego tam nie działa.

Klienci znający tylko TLS 1.0 są zbyt starzy także dla dzisiejszych przeglądarek. Po zmianie uruchom nowy skan.