是时候和TLS 1.0和1.1说再见了

由于被发布到Internet工程任务组的RFC系列中的TLS 1.3英寸的存在,所以当意识到除了TLS1.3外仍然存在TLS 1.0和TLS 1.1的实例是非常令人意外的。

现在古老的传输层安全版本(分别可以追溯到1999年和2006年)几乎消失殆尽,但是戴尔EMC的Kathleen Moriarty和都柏林圣三一学院的Stephen Farrell希望它正式废弃。

这个互联网草案坚持认为贬值时间不会在将来出现,而会现在就出现,部分原因是在顽固组织内的开发人员或滞后项目的可能需要说服The Boss™的开发人员,现在是时候了采取行动了。

现在,合上TLS1.0和TLS1.1的棺材的最后一颗钉子已经正式钉上,最终所有应用程序将禁止回退到无望的不安全的TLS 1.0和1.1标准。

同时,对TLS1.0和TLS1.1的弃用也消除了项目需要支持所有四种TLS变体(达到TLS 1.3)的任何理由,从而大大简化了开发人员的工作量并降低了实施错误的风险。

自从2018年6月30日PCI理事会的弃用截止日期即将到来以来,草案指出现在应该及时摒弃这两个标准。

该文件还指出,除了网站之外,像3GPP 5G,CloudFlare,Amazon和GitHub这样的组织已经完成了它们的弃用工作。

这个要求本身很简单:“实际上,客户端不能发送ClientHello并将其ClientHello.client_version设置为{03,01}。同样的,服务器不能发送一个ServerHello.server_versionServerHello 并将其设置为{03,01}。任何收到协议版本设置为{03,01}的Hello消息的用户必须响应一条'protocol_version'提示消息并关闭连接。“

将TLS 1.3发布到RFC流中已经迫在眉睫 - 它已经达到了预发布流程的最后一个阶段,即作者的最终审核阶段。

当它发布时,它将带有指定的RFC 8446版本。

  • 发表于:
  • 原文链接:http://www.theregister.co.uk/2018/06/19/ietf_calls_for_formal_tls_1_0_1_1_deprecation

扫码关注云+社区

领取腾讯云代金券