Estoy realmente confundido: ¿por qué algunas de las opciones de TLS / SSL están desactivadas de manera predeterminada?
¿Hay algún daño en encenderlos o algo así?
En realidad, es más seguro usar TLS 1.1 / 1.2, ya que informes recientes han mostrado vulnerabilidad al usar TLS 1.0. Fuente: http://www.theregister.co.uk/2011/09/19/beast_exploits_paypal_ssl/
Según el informe anterior, la razón por la que TLS 1.0 todavía se usa porque:
Los principales culpables de la inercia son el paquete Network Security Services utilizado para implementar SSL en los navegadores Firefox y Chrome de Google de Mozilla, y OpenSSL, una biblioteca de código de código abierto que utilizan millones de sitios web para implementar TLS. En una especie de callejón sin salida de pollo y huevo, ninguno de los juegos de herramientas ofrece versiones recientes de TLS, presumiblemente porque el otro no.
"El problema es que las personas no mejorarán las cosas a menos que les des una buena razón, y por una buena razón me refiero a una hazaña", dijo Ivan Ristic, director de ingeniería de Qualys. "Es terrible, ¿no?"
Si bien tanto Mozilla como los voluntarios que mantienen OpenSSL aún no han implementado TLS 1.2, Microsoft ha tenido un desempeño ligeramente mejor. Las versiones seguras de TLS están disponibles en su navegador Internet Explorer y el servidor web IIS, pero no de manera predeterminada. Opera también hace que la versión 1.2 esté disponible pero no sea predeterminada en su navegador.
.
Microsoft tiene un aviso de seguridad para una vulnerabilidad SSL y recomienda habilitar TLS v1.1, hay una solución en esta página para ayudar a habilitarla correctamente.
. http://support.microsoft.com/kb/2588513
.
SSL 2.0 no es seguro. SSL 3.0 y TLS 1.0 son los más frecuentes. Pero como Ar Sh mencionó, hay informes de vulnerabilidad en TLS 1.0.
Como la mayoría de los servidores web implementan SSL 3.0 y TLS 1.0, la mayoría de los navegadores web todavía los usan y son los valores predeterminados.
En mi opinión, puede habilitar TLS 1.1 y 1.2 pero evite habilitar SSL 2.0 ya que no es seguro.
fuente
Los problemas de interoperabilidad tls> 1.0 nunca se han solucionado por completo debido a la falta de adopción, por lo que, para estar seguros, muchos proveedores ni siquiera lo habilitan por defecto cuando solo se puede negociar.
fuente