Microsoft stelt uitfaseren tls 1.0 en 1.1 uit voor zijn browsers

Microsoft faseert tls 1.0 en 1.1 niet in de eerste helft van dit jaar uit voor Edge en Internet Explorer 11, zoals eerder aangekondigd, maar in de tweede helft van 2020. Microsoft doet dit vanwege de 'huidige wereldwijde omstandigheden'.

Het uitstel betekent dat Microsoft tls 1.0 en 1.1 bij versie 84 van de op Chromium gebaseerde Edge-browser uitschakelt. Die versie zou volgens de agenda in juli verschijnen. De op EdgeHTML gebaseerde versie van Edge, door Microsoft Edge Legacy genoemd, heeft vanaf 8 september geen ingeschakelde tls 1.0- en 1.1-ondersteuning meer. Op die datum stopt ook Internet Explorer 11 met tls 1.0 en 1.1.

Gebruikers kunnen de tls-versies handmatig alsnog activeren in de browsers, maar Microsoft raadt dit af en stimuleert organisaties om af te stappen van de protocollen. Tls 1.0 en 1.1 zijn verouderde webstandaarden die nog maar weinig gebruikt worden. In 2018 kondigden browsermakers aan de ondersteuning uit te faseren. In dat jaar kondigde de Internet Engineering Task Force het veiligere tls 1.3 aan. Tls 1.0 verscheen meer dan twintig jaar geleden.

Reacties (17)

[kamerplant]

Ik snap niet zo goed wat dit te maken heeft met de huidige wereldwijde omstandigheden. Systeembeheerders hadden dit toch al -lang- kunnen regelen? Als ze dat nog niet hebben gedaan, kan dat toch prima vanuit huis?

[jj71]

Omdat er nu meer mensen vanuit huis werken en dan is het extra belangrijk dat ze goed verbinding kunnen leggen met de systemen op het werk en dat hun browser het goed doet. Als iets niet werkt via de computer is het met thuiswerken een stuk lastiger om even bij een collega langs te lopen.

[martennis]

Wat had gekund en wat doorgaans daadwerkelijk gebeurd ligt helaas nogal eens ver uit elkaar.
Een wijziging als dit kan natuurlijk behoorlijk impact hebben op (oude) systemen. Kan me voorstellen dat niet alle systemen in ziekenhuizen de laatste 10 jaar zijn geschreven bijvoorbeeld.

[The Zep Man]

Gebruikers kunnen de tls-versies handmatig alsnog activeren in de browsers, maar Microsoft raadt dit af en stimuleert organisaties om af te stappen van de protocollen.

Zolang Microsoft dit nog toestaat, net als het gebruik van een Internet Explorer-mode in de nieuwe Edge versie, zal er binnen organisaties weinig veranderen. Het enige dat echt werkt is de duimschroeven aandraaien. Zie hoe Google zaken doordrukt in Chrome, Firefox dat volgt en hoe als gevolg daarvan bedrijfswebsites een stuk vlotter meegaan met nieuwe trends. Je zal immers maar plots potentiële klanten gaan missen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 17:54]

[Dennism]

Tja, dat is denk ik een beetje kip / ei verhaal. Genoeg situaties waarbij dat soort zaken helaas nodig zijn omdat 3rd party applicaties anders niet (correct) functioneren. Ik ben ook bezig bij verschillende relaties om tls1 / 1.1 actief uit te faseren, echter gaat dat helaas niet altijd even makkelijk.

[BushWhacker]

Wij hebben dit opgelost door en een reverse-proxy voor te zetten (voor de oude sites die onprem nog draaien op een oude Sharepoint-versie die niet te upgraden is en het management maar niet wil uitfaseren).

Alle gebruikers gaan naar de reverse-proxy (met TLS 1.2) die weer connect met de antieke Sharepoint.
De Sharepoint omgeving is geisoleerd (via Hardware-Firewalls) zodat alleen de reverse-proxy mag connecten.

Wij gebruiken hiervoor HAProxy op Linux, maar zou natuurlijk ook Nginx kunnen zijn.

Helaas zijn er idd ook applicaties die hoger dan TLS niet willen begrijpen.
Het rare is dat ook de nieuwe Powershell default TLS 1.0 probeert en dan zegt: kan er niet bij.
Wij moesten in PS in de code echt aangeven dat ie een hoegere versie eerst moest proberen.

Voor Windows gebruik ik de volgende tool: IIS Crypto.
https://www.nartac.com/Products/IISCrypto/
Hiermee kun je oude ciphers en SSL/TLS disablen.

[Reactie gewijzigd door BushWhacker op 23 juli 2024 21:26]

[CAPSLOCK2000]

Helaas zijn er idd ook applicaties die hoger dan TLS niet willen begrijpen.

Dat zijn waarschijnlijk applicaties die al jaren geen updates hebben gehad of worden beheerd door een partij die niet moet met security om gaat. Het is natuurlijk makkelijker gezegd dan gedaan, maar eigenlijk moet je van die oude applicaties af, want naar alle waarschijnlijkheid zijn er nog wel meer beveiligingsproblemen te vinden in applicaties die al zo lang geen (goed) onderhoud meer hebben gehad.

[Sebazzz]

Niet per se. Een applicatie die op een oudere versie van .NET Framework draait heeft standaard geen TLS 1.2 ingeschakeld. Dit geldt o.a. voor Windows Powershell.

[CAPSLOCK2000]

Waarom is er niks mis mee dat die oudere versie van .NET nog geen TLS1.2 doet? Daar moet je dan toch iets aan doen? Als er nieuwere versies van applicatie (bv PS) uitkomen die nog steeds afhankelijk zijn van een een .NET versie lijkt me dat ook geen goed teken voor de rest van die applicatie, dan vraag ik me toch af die net zo verouderd is.

[TheVivaldi]

Dat zal dan wel over bepaalde specifieke zakelijke apps gaan, want ik heb TLS 1.0 en 1.1 al een tijdje uitstaan in de browsers op mijn laptop en smartphone en ben nog niks tegengekomen wat niet werkt.

[Kazu]

Ondanks dat ik het er mee eens ben dat je in dit soort zaken actief moet zijn als browser-bouwer, ben ik het er wel mee eens dat dit misschien niet het moment is om dit er doorheen te drukken. Mozilla heeft dezelfde wijzigingen ook al teruggedraaid: https://tweakers.net/nieu...1-weer-in-in-firefox.html

[The Zep Man]

Ondanks dat ik het er mee eens ben dat je in dit soort zaken actief moet zijn als browser-bouwer, ben ik het er wel mee eens dat dit misschien niet het moment is om dit er doorheen te drukken.

Mijn opmerking was breder en niet enkel voor het moment. Er is tot nu toe nog geen zicht op dat Microsoft onherroepelijk TLS 1.0/1.1 gaat uitschakelen. Gekeken naar hoe traag Microsoft was met het uitschakelen van SSL 2.0 (pas sinds Windows 10 versie 1709, terwijl het in 1996 al als kwetsbaar werd geoormerkt en werd opgevolgd door SSL 3.0) gaat het echt uitschakelen van TLS 1.0 en 1.1 nog wel even duren.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 17:54]

[dec0de]

*extra info*
Dit is niet het juiste moment, omdat nu veel bedrijven verminderde werkkrachten hebben. Als er nu updates die veel impact hebben worden doorgedrukt, kan het zijn dat bedrijfen de mankracht er niet voor hebben om hun platform compliant te maken met de nieuwe vereisten. Ja, die hadden ze al veel eerder moeten implementeren, maar om het nu te doen in deze “crisis situatie” gaat wat ver.

[Rudie_V]

De reden waarom Mozilla in Firefox tls 1.0 en tls 1.1 weer mogelijk maakt is natuurlijk ironisch:

Het bedrijf wil op die manier overheidswebsites tijdens de coronapandemie bereikbaar houden die nog steeds van de oude protocollen gebruik maken.

Dat terwijl overheden, tenminste in de westerse wereld dan, volop waarschuwen om de beveiliging op orde te hebben en niet meer gebruik te maken van kwestbare protocollen. Dit zelfs in geregeld in adviezen, best practises of regelgeving.

Maar verder geen idee hoe het gesteld is in niet-westerse landen.

[SuperDre]

Voor google zijn dat geen klanten. Te veel te snel doordrukken is ook niet goed. Dat jij misschien met je hobbyprojectjes simpel even kunt omschakelen, of dat jij blijkbaar genoeg tijd hebt om zaken aan te passen is een ander verhaal. Niet elk bedrijf heeft een groot ontwikkel team om een grote applicatie om te bouwen naar 'nieuwe' technieken. Soms er echt gewoonweg het geld niet voor om zo lang 'stil' te staan voordat een nieuwe versie weer de oude kan vervangen.
Ja er zullen zeker ook genoeg bedrijven zijn die gewoon te laks zijn geweest. Maar aan de andere kant gaat het soms met development frameworks etc wel heel erg de kant op wat hip en trendy is terwijl het in werkelijkheid geen toegevoegde waarde heeft over oude technieken die nog steeds gewoon goed werken (en heel vaak zijn de nieuwe 'technieken' niets meer dan de oude technieken in een nieuw jasje, in het begin vaak zelfs nog enorm beperkt en uiteindelijk na een tijdje komt het weer op exact dezelfde manier uit als'vroeger' en dan komt er weer iemand met hetzelfde in een nieuw jasje).

[pepsiblik]

En dit gaat ook over SSL 3.0. Dat wordt samen met TLS 1.0 en 1.1 uitgefaseerd.

[CAPSLOCK2000]

Ik snap waarom ze het doen maar vind het toch erg jammer.
Juist nu we veel afhankelijker zijn geworden van digitale middelen gaan we beknibbelen op de veiligheid.

Ergens is het inderdaad de juiste keuze om in deze tijd een beetje flexibel te zijn, maar security was toch al het ondergeschoven kindje dat altijd moet wijken voor gemak en goedkoop. In veel gevallen wordt er net aan de absolute minimumeisen voldaan. Er is eigenlijk geen ruimte meer om nog verder te beknibbelen.
Het uitschakelen van die oude TLS versies zat er al heel lang aan te komen en als al veel te vaak uitgesteld. Ik vrees dat er nu nog een zeker jaar bij gaat komen, want nadat deze crisis voorbij is zal er wel een nieuwe voorbereidingsperiode worden afgekondigd waarna toch weer blijkt dat tal van organisaties nog verouderde software gebruiken.

Daar komt bij dat IT een beetje een geloofwaardigheidsprobleem krijgt. Nadat ik hemel en aarde heb bewogen om klaar te zijn voor deze aanpassing en talloze waarschuwingen heb uitgedeeld dat sites zeker stuk zouden gaan, gaat het nu toch niet door. Natuurlijk kan ik het uitleggen, maar de kans is groot dat de boodschap die blijft hangen toch is dat die beheerders maar paniekerige angsthazen zijn die de situatie enorm overdrijven.