Moeten we TLS 1.0 en 1.1 uitschakelen?

Ja. Beide zijn sinds RFC 8996 (maart 2021) formeel afgekeurd door de IETF, grote browsers accepteren ze niet meer, en ze steunen op oude hashfuncties en cijferconstructies met bekende zwakheden. Staan ze op een server nog aan, dan is het risico minder een directe aanval dan een downgradepad, en een teken van verwaarlozing dat auditors, verzekeraars en scanners zullen opmerken. Zoek vóór het uitschakelen uit wie ze nog gebruikt: oude printers, scanners, industriële apparaten, verouderde applicaties en embedded clients zijn de gebruikelijke verdachten, en uitschakelen zonder controle kan een productielijn of betaalterminal stilleggen. Kijk in serverlogs die de TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-versie vastleggen, laat een externe scanner los op publieke diensten en kijk binnen het netwerk naar de TLS-versies in de handshakes. Schakel ze dan uit, of isoleer wat niet bij te werken is in een eigen segment, met een plan voor vervanging. Dezelfde inventaris komt later goed van pas bij het post-kwantumwerk.

← Alle 40 vragen over Versleuteling en versleuteld verkeerAlle onderwerpen