ssl - 如果 SSL 被禁止会怎样？

Question

当浏览有关 TLS 和 SSL 的互联网时，我发现在 2018 年 6 月 30 日，IETF 正在禁止 SSL 和 TLS 1.0 因为 POODLE(在这个网站上找到它:https://blog.pcisecuritystandards.org/are-you-ready-for-30-june-2018-sayin-goodbye-to-ssl-early-tls)。 IETF 或其他组织/公司是否正在替代 SSL，以便所有使用它的协议(protocol)(不仅仅是 HTTPS)仍然有效？

Answer 1

When browsing the internet about TLS and SSL I found that on 30th June 2018, IETF are prohibiting SSL and TLS 1.0 ....

虽然您没有为此声明提供来源(“浏览互联网”不是可用的来源)，但我认为您在这里混淆了几件事:

• SSL 2.0 已损坏多年，SSL 3.0 也被认为已损坏(POODLE 攻击)，TLS 1.0 有已知弱点但未被视为严重损坏(POODLE 不适用于此处，除了未正确实现标准的错误实现)
• IETF 并未在 2018 年 6 月 30 日禁止 TLS 1.0。相反，该日期来自 PCI security standards councel这与支付提供商相关。

文档Migrating from SSL and Early TLS包括以下声明:

After June 30, 2018, all entities must have stopped use of SSL/early TLS as a security control, and use only secure versions of the protocol (an allowance for certain POS POI terminals is described in the last bullet, below)

这里的“早期 TLS”指的是 TLS 1.0，“SSL”指的是 SSL 3.0，这意味着只要 PCI 要求适用，人们仍然可以使用 TLS 1.1 和 TLS 1.2 以及新的 TLS 1.3。您可以在这些要求之外继续使用 TLS 1.0(即对于非支付站点)，尽管建议使用支持良好且更安全的 TLS 1.2(或更好)。此外，所有现代操作系统和浏览器多年来都支持 TLS 1.2，因此无需担心。