Mozilla Firefox sẽ ngừng hỗ trợ TLS 1.0 và 1.1 kể từ năm 2020

Mozilla đã xác nhận rằng trình duyệt hỗ trợ cho TLS (Transport Layer Security) 1.0 và 1.1 sẽ kết thúc từ tháng 3 năm 2020 và cho các quản trị web ít hơn sáu tháng để nâng cấp các thiết lập của họ.

TLS 1.0 và 1.1 lần lượt đã hoạt động 20 và 13 năm. Cả hai đều không tuân thủ Tiêu chuẩn bảo mật dữ liệu PCI (PCI DSS) ngày nay để bảo vệ dữ liệu thanh toán và chúng không thể hỗ trợ các thuật toán mã hóa hiện đại.

Các giao thức dễ bị khai thác bảo mật bao gồm POODLE và BEAST , và NIST nói rằng không thể vá hoặc hỗ trợ TLS 1.0 / 1.1 hơn nữa.

Các nhà phát triển đang được khuyến khích nâng cấp lên TLS 1.2 trở lên. Mặc dù phiên bản này đã được giới thiệu cách đây một thập kỷ, tùy chọn này vẫn tuân thủ PCI DSS. TLS 1.3 là phiên bản mới nhất hiện có.

Quét sạch

Theo kỹ sư của Martin Martin Thomson, việc sử dụng vẫn còn  (yêu cầu đăng nhập) ở mức từ 0,46% đến 0,68% cho TLS 1.0, trong khi TLS 1.1 thì hầu như không tồn tại ở mức 0,02%.

Trong một bài đăng cho các nhà phát triển ngày hôm qua (12 tháng 9), Thomson cho biết dữ liệu đo từ xa cho TLS 1.0 vẫn còn cao hơn nhiều so với Mozilla thường chịu đựng, nhưng các phép đo hỗ trợ quan điểm rằng số lượng trang web sẽ bị ảnh hưởng đang giảm dần .

Tính đến tháng 5 năm 2019, Tranco ước tính rằng 8.000 trong số một triệu tên miền hàng đầu đang sử dụng TLS 1.1 trở xuống. Qualys nói rằng 95,8% trang web hỗ trợ TLS 1.2.

Sự ra mắt của Firefox 68 là bước đầu tiên hướng tới sự phản đối của TLS 1.0 / 1.1. Được phát hành vào tháng 7, bộ công cụ dành cho nhà phát triển được sử dụng trong phiên bản trình duyệt này cảnh báo người dùng nếu họ đang sử dụng 1.0 / 1.1 và khuyến khích nâng cấp ngay lập tức.

Mozilla có kế hoạch vô hiệu hóa hỗ trợ cho các giao thức trong Firefox Nightly với việc phát hành Firefox 71. Thomson nói rằng điều này sẽ làm cho nó rõ ràng hơn khi các trang web không hỗ trợ TLS 1.2.

Kỹ sư này cũng nói thêm rằng, sự phản đối đã phá vỡ các trang web không thường xuyên nhưng nó khá hiếm.

Hy vọng rằng phiên bản beta sẽ tắt hoàn toàn hỗ trợ cho các giao thức lỗi thời trước tháng 3 năm 2020, khi kênh phát hành của trình duyệt sẽ có sẵn cho công chúng.

Đây là một thay đổi có khả năng đột phá, nhưng chúng tôi tin rằng điều này tốt cho tính bảo mật và tính ổn định của web, theo ông Thom Thomson.

Nỗ lực phối hợp

Động thái này sẽ không chỉ áp dụng cho Firefox. Google Chrome , Microsoft Edge và Internet Explorer 11 và trình duyệt Safari của Apple đều bị thu hồi hỗ trợ cho TLS 1.0 / 1.1 vào năm 2020.

Thỏa thuận giữa Apple, Google, Microsoft và Mozilla để rút lại hỗ trợ cho các giao thức mã hóa cũ này có thể sẽ được chào đón bởi các nhà phát triển web đang tìm kiếm một internet an toàn hơn.

Ưu điểm của việc loại bỏ các kết nối TLS 1.0 và TLS 1.1 đã lỗi thời là người dùng sẽ không thể truy cập các trang web đang sử dụng các phiên bản TLS cũ hơn, Jonathan Jonathan Knudsen, chiến lược gia bảo mật cao cấp tại Synopsys nói với Daily Swig .

Cập nhật là một thách thức đối với nhiều tổ chức; thật vậy, nhiều thiết bị tiếp xúc trên internet đang chạy các phiên bản phần mềm dễ bị khai thác hàng tháng hoặc hàng năm tuổi.

Thay vì cố gắng tương tác với phần mềm cũ hơn, dễ bị tổn thương hơn, Mozilla đã đúng khi cố gắng nâng toàn bộ hệ sinh thái đến một nơi tốt hơn.

Việc xác nhận kết thúc hỗ trợ cho các giao thức TLS cũ không phải là thay đổi duy nhất gần đây của Mozilla.

Tuần trước, tổ chức phi lợi nhuận đã công bố việc giới thiệu DNS-over-HTTPS sắp tới là mặc định cho Firefox.

Giao thức được thiết kế để thêm một lớp bảo mật bổ sung cho các phiên của trình duyệt bằng cách ẩn các truy vấn DNS bên trong lưu lượng HTTPS thông thường.

bình luận

Leave a Comment