Redaktørens Oppdatering: juni 24, 11: 40am PDT-Vi vil gå videre med å deaktivere TLS 1.0 og TLS 1.1 som standard I Firefox 78, slippe 30 juni. Hvis du ser en «Secure Connection Failed» – melding som vises i innlegget nedenfor, trykker du på knappen for å aktivere TLS 1.0 og TLS 1.1 på NYTT. Du trenger bare å trykke denne knappen en gang, endringen vil være global.
Tidligere Oppdatering:Mars 23, 10: 43am PDT-Vi har aktivert TLS 1.0 og 1 på NYTT.1 I Firefox 74 Og 75 Beta for bedre å gi tilgang til nettsteder som deler kritisk og viktig informasjon i løpet av denne tiden.
Kommer Til En Firefox nær Deg I Mars
Transport Layer Security (Tls) protokollen er de facto betyr for å etablere sikkerhet på Nettet. Protokollen har en lang og fargerik historie, og starter med starten Som Secure Sockets Layer (SSL) – protokollen tidlig på 1990-tallet, helt frem til den nylige utgivelsen av jazzier (read faster and safer) TLS 1.3. Behovet for en ny versjon av protokollen ble født ut av et ønske om å forbedre effektiviteten og å rette opp feilene og svakhetene som er tilstede i tidligere versjoner, spesielt I TLS 1.0 og TLS 1.1. Se DYRET, KRIMINALITET og PUDDEL angrep, for eksempel.Med begrenset støtte for nyere, mer robuste kryptografiske primitiver og krypteringssuiter, ser DET ikke bra UT FOR TLS 1.0 og TLS 1.1. Med sikrere TLS 1.2 og TLS 1.3 til rådighet for å tilstrekkelig projisere webtrafikk, er det på tide å flytte tls-økosystemet inn i en ny epoke, nemlig en som ikke støtter svake versjoner AV TLS som standard. Mozilla, Google, Apple og Microsoft har forpliktet SEG til å deaktivere TLS 1.0 og TLS 1.1 som standardalternativer for sikre tilkoblinger. Med andre ord vil nettleserklienter sikte på å etablere en tilkobling ved HJELP AV TLS 1.2 eller høyere. For mer om begrunnelsen bak denne beslutningen, se vårt tidligere blogginnlegg om emnet.
hvordan ser Dette ut I Firefox?
vi distribuerte Dette I Firefox Nightly, den eksperimentelle versjonen av nettleseren vår, mot slutten av 2019. Den er nå også tilgjengelig I Firefox Beta 73. I Firefox betyr dette at den minste tls-versjonen som er tillatt som standard, ER TLS 1.2. Dette har blitt utført i kode ved å sette security.tls.version.min=3, en preferanse som angir den minste tls-versjonen som støttes. Tidligere ble denne verdien satt til 1. Hvis du kobler til nettsteder som støtter TLS 1.2 og nyere, bør du ikke merke noen tilkoblingsfeil forårsaket AV feil i tls-versjonen.
Hva om et nettsted bare støtter lavere versjoner AV TLS?
i tilfeller der bare lavere versjoner av TLS støttes, dvs. når den sikrere TLS 1.2 og TLS 1.3 versjoner kan ikke forhandles, vi tillater en tilbakebetaling TIL TLS 1.0 eller TLS 1.1 via en overstyringsknapp. Som Firefox-bruker, hvis du befinner deg i denne posisjonen, vil du se dette:
som bruker må du aktivt starte denne overstyringen. Men overstyringsknappen gir deg et valg. Du kan selvfølgelig velge å ikke koble til nettsteder som ikke gir deg best mulig sikkerhet.
dette er ikke ideelt for nettstedsoperatører. Vi vil oppfordre operatørene til å oppgradere sine servere for å tilby brukerne en sikker opplevelse på Nettet. Vi annonserte våre planer om tls 1.0 og TLS 1.1 avskrivninger over et år siden, i oktober 2018, og nå er tiden kommet for å gjøre denne endringen. La OSS jobbe sammen for å flytte TLS-økosystemet fremover.
Avskrivning tidslinje
vi planlegger å overvåke telemetri over To Firefox Beta-sykluser, og så skal vi la denne endringen ri Til Firefox-Utgivelsen. Så forvent Firefox 74 å tilby TLS 1.2 som sin minimumsversjon for sikre tilkoblinger når Den sendes 10. Mars 2020. Vi planlegger å beholde overstyringsknappen for nå; telemetrien vi samler vil fortelle oss mer om hvor ofte denne knappen brukes. Disse resultatene vil da informere vår beslutning om når du skal fjerne knappen helt. Det er usannsynlig at knappen vil holde seg lenge. Vi er forpliktet til å fullstendig utrydde svake versjoner av TLS fordi Mozilla mener at brukersikkerhet ikke bør behandles som valgfri.Igjen vil Vi understreke viktigheten av å oppgradere webservere de kommende månedene, da vi sier farvel TIL TLS 1.0 og TLS 1.1. R. I.P, du har tjent oss godt.
Om Thyla van Der Merwe
Kryptografi Engineering Manager Hos Mozilla.
Flere artikler av Thyla van Der merwe…