Vypněte TLS 1.0 a 1.1 už dnes

Společnosti Microsoft, Google, Apple i Mozilla včera shodně oznámily, že z jejich webových prohlížečů Internet Explorer, Edge, Chrome, Safari a Firefox počátkem roku 2020 odstraní protokoly TLS 1.0 a TLS 1.1. Michal Špaček v článku Vypněte TLS 1.0 a 1.1 už dnes na svých stránkách informuje, že TLS 1.0 a 1.1 lze vypnout již dnes. Ověřit to lze například pomocí SSL Labs Server Testu.

16.10.2018 11:11 | Ladislav Hagara | Zajímavý článek

Komentáře

[Michal Kubeček]

Už teď má spousta lidí problémy s tím, že nemůžou použít ssh rozhraní k některým starším zařízením, takže se jim pro jistotu znefunkční i webové. To je tak, když si někdo vezme do hlavy, že místo aby software uživatelům sloužil, má je vychovávat.

[Ruža Becelin]

Ke starsimu zarizeni pouzuji starsi prohlizec, nebo starsi OS ve VM, samozrejme oboje patricne oddelene od bezneho provozu.

Nebo mi neco uchazi?

Na testovaci Catalyst 2950 se hlasim SSH klienten s RC4 sifrou a bezpecnost site tim neohrozuji, protoze to lezi mimo ostatni infrastrukturu.

[Roman]

Stare zarizeni sbalit a vyhodit. A nove zarizeni kupovat takove, u ktereho jde vse pravidelne aktualizovat. Neco jako zmena sifry nebo CA certifikaty ma byt ejn trivialni aktualzice par balicku. Pokud vyrobce udela zarizeni, ve kterem se zadne aktualizace nedelaji, nebo jen rok ci dva, tak takove zarizeni nekupovat.

[pavele]

Já bohužel nemám pár mega na upgrade jednoúčelového, specializovaného zařízení každé dva-tři roky.

Takže jednoznačně dojde ke snížení bezpečnosti.

[Max]

ssh na starší hp switche řeším aliasem :

alias hpssh='ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 -c 3des-cbc'

Takže pak jen stačí dát :

hpssh -l root 192.168.1.1

Zdar Max

[R]

To je vporiadku a takto by mali riesit kompatibilitu vsetci vyvojari. Ale ked nejaky DEBIL dany algoritmus uplne odstrani, tak si musis niekde bokom udrziavat pri zivote stare nepodporovane verzie...

[Jendа]

To nejde minimálně na starém Mikrotiku, protože od verze 7.1 je v OpenSSH DH_GRP_MIN natvrdo a 1024b klíče to nevezme.

[Max]

Co to znamená "starý mikrotik"? To jako, že se někde válí mikrotik bez aktuálnějšího fw? Všechny MK, co mám, jsou stále supportována/je pro ně aktuální fw/os a osobně ho tam nalejvám (po přečtení komentářů ve foru ke konkrétní verzi :) ).
Zdar Max

[Peter Golis]

To bude srandy kopec keď taký́to razantný prístup nepovolí šifrovanie pri IoT. Už sa teším keď jeden plošný zákaz čo z bezpečnostných dôvodov vypne staršie šifrovanie aj odstaví snímače v polke republiky.

[Věra Pohlová]

Zakažte počítače a internety už dnes

[ewew]

To až teraz ?

Ja som to na vps používal dávnejšie.

[hefo]

Najlepšie je, keď to príde príkazom niekde od manažmentu zákazníka. Čo na tom, že 1. aktuálna verzia softvéru TLSv1.2 nepodporuje a upgrade je byrokratický projekt pre troch papierohryzov a jedného technického človeka na pol roka. 2. všetky servery sú v uzavretom prostredí, kam sa človek dostane len cez CyberArk s číslom tiketu ...

[hefo]

aktuálna = "aktuálne nasadená" (aby nedošlo k omylu)