मैं वास्तव में भ्रमित हूं - डिफ़ॉल्ट रूप से कुछ टीएलएस / एसएसएल विकल्प बंद क्यों हैं ?
क्या उन्हें या किसी चीज़ को चालू करने में कोई नुकसान है?
मैं वास्तव में भ्रमित हूं - डिफ़ॉल्ट रूप से कुछ टीएलएस / एसएसएल विकल्प बंद क्यों हैं ?
क्या उन्हें या किसी चीज़ को चालू करने में कोई नुकसान है?
जवाबों:
दरअसल, टीएलएस 1.1 / 1.2 का उपयोग करना अधिक सुरक्षित है, क्योंकि हालिया रिपोर्टों ने टीएलएस 1.0 का उपयोग करते समय भेद्यता दिखाई है। स्रोत: http://www.theregister.co.uk/2011/09/19/beast_exploits_paypal_ssl/
उपरोक्त रिपोर्ट के अनुसार, टीएलएस 1.0 का उपयोग अभी भी किया जाता है क्योंकि:
जड़ता के लिए मुख्य अपराधी नेटवर्क सुरक्षा सेवा पैकेज हैं जिसका उपयोग मोज़िला के फ़ायरफ़ॉक्स और Google के क्रोम ब्राउज़रों में एसएसएल को लागू करने के लिए किया जाता है, और ओपनएसएसएल, एक ओपन-सोर्स कोड लाइब्रेरी है जो टीएलएस को तैनात करने के लिए लाखों वेबसाइटों का उपयोग करते हैं। एक मुर्गी-और-अंडे के इंपेस के कुछ में, न तो टूलकिट टीएलएस के हाल के संस्करणों की पेशकश करता है, संभवतः क्योंकि दूसरा नहीं करता है।
"समस्या यह है कि लोग चीजों में सुधार नहीं करेंगे जब तक कि आप उन्हें एक अच्छा कारण नहीं देते हैं, और एक अच्छे कारण से मेरा मतलब शोषण है," क्वालिस के इंजीनियरिंग के निदेशक इवान रिस्ते ने कहा। "यह भयानक है, है ना?"
जबकि मोज़िला और ओपनएसएसएल को बनाए रखने वाले स्वयंसेवकों ने अभी तक टीएलएस 1.2 को लागू करने के लिए अभी तक नहीं किया है, माइक्रोसॉफ्ट ने केवल थोड़ा बेहतर प्रदर्शन किया है। सुरक्षित टीएलएस संस्करण इसके इंटरनेट एक्सप्लोरर ब्राउज़र और आईआईएस वेबसर्वर में उपलब्ध हैं, लेकिन डिफ़ॉल्ट रूप से नहीं। ओपेरा संस्करण 1.2 को भी उपलब्ध करता है लेकिन इसके ब्राउज़र में डिफ़ॉल्ट नहीं है।
।
Microsoft एक SSL भेद्यता के लिए एक सुरक्षा सलाहकार है और TLS v1.1 को सक्षम करने की सिफारिश करता है, इस पृष्ठ पर इसे ठीक से सक्षम करने में सहायता करने के लिए एक फ़िक्स है।
। http://support.microsoft.com/kb/2588513
।
एसएसएल 2.0 असुरक्षित है। एसएसएल 3.0 और टीएलएस 1.0 सबसे अधिक प्रचलित हैं। लेकिन जैसा कि Ar Sh ने उल्लेख किया है, TLS 1.0 में भेद्यता की रिपोर्ट है।
चूंकि अधिकांश वेब सर्वर एसएसएल 3.0 और टीएलएस 1.0 को लागू करते हैं, इसलिए अधिकांश वेब ब्राउज़र अभी भी उनका उपयोग करते हैं और चूक हैं।
मेरी राय में, आप TLS 1.1 और 1.2 को सक्षम कर सकते हैं लेकिन SSL 2.0 को सक्षम करने से बचें क्योंकि यह असुरक्षित है।