Разработчики браузеров Firefox (https://blog.mozilla.org/security/2018/10/15/removing-old-ve.../), Chrome (https://security.googleblog.com/2018/10/modernizing-transpor...), Edge (https://blogs.windows.com/msedgedev/2018/10/15/modernizing-t...) и Safari (https://webkit.org/blog/8462/deprecation-of-legacy-tls-1-0-a.../) предупредили о грядущем прекращении поддержки протоколов TLS 1.0 и TLS 1.1:
- В Firefox поддержка TLS 1.0/1.1 будет прекращена в марте 2020 года, но в тестовых и ночных сборках данные протоколы будут отключены раньше.
- В Chrome поддержка TLS 1.0/1.1 будет прекращена начиная с Chrome 81 который ожидается в январе 2020 года. В Chrome 72, который выйдет в январе 2019 года, при открытии сайтов с использованием TLS 1.0/1.1 начнёт выводится специальное предупреждение о применении устаревшей версии TLS. Настройка, дающая возможность вернуть поддержку TLS 1.0/1.1 будет сохранена до января 2021 года.
- В Safari и движке WebKit поддержка TLS 1.0/1.1 будет прекращена в марте 2020 года.
- В Microsoft Edge и Internet Explorer 11 удаление TLS 1.0 и TLS 1.1 ожидается в первой половине 2020 года.
Спецификация TLS 1.0 была опубликована в январе 1999 года. Спустя семь лет было выпущено обновление TLS 1.1 с улучшениями безопасности, связанными с генерацией векторов инициализации и добавочного заполнения. В настоящее время комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, уже
опубликовал (https://datatracker.ietf.org/doc/draft-ietf-tls-oldversions-.../) черновик спецификации, переводящей протоколы TLS 1.0/1.1 в разряд устаревших.
По данным IETF подавляющее большинство пользователей и серверов уже применяют TLS 1.2+:- Доля запросов с использованием TLS 1.0 в Web составляет 0.4% для пользователей Chrome и 1% для пользователей Firefox. - Из миллиона крупнейших сайтов по рейтингу Alexa только 2% ограничены TLS 1.0 и 0.1% - TLS 1.1. - По статистике Cloudflare около 9.3% запросов через сеть доставки контента данной компании производится с использованием TLS 1.0 и 0.2% - TLS 1.1.- По данным (https://www.ssllabs.com/ssl-pulse/) сервиса SSL Pulse компании Qualys протокол TLS 1.2 поддерживают 94% web-сайтов, допускающих установку защищённых соединений. - Данные Mozilla, собранные через систему телеметрии в Firefox, показывают, что
лишь 1.11% защищённых соединений было установлено с использованием протокола TLS 1.0, для TLS 1.1 этот показатель составляет 0.09%, для TLS 1.2 - 93.12%, для TLS 1.3 - 5.68%.Главными проблемами TLS 1.0/1.1 является отсутствие поддержки современных шифров (например ECDHE и AEAD) и требование поддержки старых шифров, надёжность которых на современном этапе развития вычислительной техники поставлена под сомнение (например, требуется поддержка TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, для проверки целостности и аутентификации используется MD5 и SHA-1). Поддержка устаревших алгоритмов уже привело к появлению таких известных атак, как
ROBOT (https://www.opennet.ru/opennews/art.shtml?num=47730), DROWN (https://www.opennet.ru/opennews/art.shtml?num=43971), BEAST (https://www.opennet.ru/opennews/art.shtml?num=31797), Logjam (https://www.opennet.ru/opennews/art.shtml?num=42270) и FREAK (https://www.opennet.ru/opennews/art.shtml?num=41782). Тем не менее, данные проблемы непосредственно не являются уязвимостями протокола и закрываются на уровне его реализаций. В самих протоколах TLS 1.0/1.1 отсутствуют критические уязвимости, которые можно использовать для осуществления практических атак.
URL: https://blog.mozilla.org/security/2018/10/15/removing-old-ve.../
Новость: https://www.opennet.ru/opennews/art.shtml?num=49443
Отлично, а чем старое железо администрировать?
очевидно, через telnet.
Человек хочет что то администрировать, но не знает как установить ESR?
Не по Ваньке шапка.
Старыми версиями браузеров.
хромом, разумеется - он и тут оказался вменяемее.выведет тебе предупреждение.
Читать вы не научились.
RS232 - TeraTerm
> Отлично, а чем старое железо администрировать?А что оно без шифрования не может?
>> Отлично, а чем старое железо администрировать?
> А что оно без шифрования не может?ты будешь смеяться, но часто - нет. То есть там тоже были такие же, слышавшие краем уха что нисикьюрно-нисикьюрно, и вляпавшие https где он в общем-то даром не нать. С таким openssl'ем который был в те годы модно.
вот например, из очень распространенного - всякие ilo/ucs/AMM - просто обожают подобный подход.
А видел такой старый iLO, открываться в новых ОС не хотел, хоть упорись. Открылся только в windows xp sp2.
Виртуалкой Windows Server 2003 с IBM Java 5 для javaw, через Citrix XenDesktop 6, используя NTLM auth.Security through insanity!
Internet Explorer 6.0!
Поставил я тут Windows XP на вируталку, чтобы контрольную одну сделать с использованием устаревшего софта. И не смог скачать ни хром, ни файерфокс. Проблема с доступом к сайтам https. Теперь IE даже как утилита для скачивания браузера не годится.
Теперь IE даже как утилита для скачивания современного анального зонда не годится.поправил, не благодари.
palemoon все еще можно скачать - и да, у бинарников есть подписи, а тем кто хочет скрыть от товарищмайора сам факт скачивания - в дурку.
>Отлично, а чем старое железо администрировать?Старое железо перепрошить на OpenWRT. Если совсем всё плохо и не поддерживается - выкинуть.
OpenWRT для cisco ??? Да вы террорист!
Администрировать циски через веб ? Вон из профессии !
это смотря какие сиськи - на какие-то из мелких lwap вполне себе ставился, и вообще там внутре неонка и самодельная линукс-импровизация ровно на ту же тему. Хочешь ли ты вручную потом поуправлять-понастраивать пару сотен ставших отдельными точек - это отдельный вопрос, как и handover между ними.А вот администрировать контроллер этих самых lwap'ов через cli - это для на голову больных. Как и апгрейдить только потому, что этого требуют идиоты или засланные казачки, борцуны с неправильным ssl.
помимо контроллеров, есть еще asdm (который ненужно и вредно для настройки, но чрезвычайно полезно для оценки текущего состояния, и значительно надежнее любой наколенной поделки, которой теоретически ты бы мог его заменить)
и это только у сетевых железок, а есть еще ucs и чисто-программные комплексы.
Ну в чём проблема для старого железа хотя бы виртуалку создать с "правильным" браузером? Ну или портабельную версию хранить и запускать когда надо админить?
> Ну в чём проблема для старого железа хотя бы виртуалку создать с "правильным" браузером?ну да, по одной на каждую старую железку - тут это сломали, там то. И бережно хранить, а то еще и archive.mozilla выпилят, или сделают только для членов клуба, как адоб это уже сделал со старыми версиями плагина. Квинтэссенцией этой технологии является попытка собрать виртуалку для управления какой-нибудь не самой последней версией vcenter - нужно одновременно websockets(!), два разных устаревших плагина с привычкой сегфолтиться на неправильных версиях винды, строго определенные версии флэша и не самый продвинутый браузер. Я, увы, ниасилил.
а вот зачем фуфлокс, хрень, эдж и даже огрызок старательно создают нам эти проблемы - очень хотелось бы спросить у их авторов, прищемив им предварительно яйца дверью.
Ну так если вы хотите остаться в прошлом - придется это делать аутентично. Используя старые компьютеры и софт. У реконструкторов учитесь, те порой даже мешковину для кафтана по традиционной технологии делают.
"...поуправлять-понастраивать пару сотен точек" через веб - это тоже "для на голову больных"! :)
малыш, почитай что-нибудь про lightweight access points, wlan controllers, и перестань нести чепуху.настраивается все не слишком извращенное в пяток кликов - причем независимо от того, сколько там этих точек, а новую точку монтажник просто включает в свободный порт - и никакая ручная настройка ей вообще не требуется.
поганые чудеса там тоже есть (включая и то почему приходится через веб, хотя cli вообще-то имеется), но они начинаются в таком месте, до которого тебе еще долго расти, ты пока азов не знаешь.
> OpenWRT для cisco ??? Да вы террорист!Это не он, это CISCO - они сами Linksys скупили!
Охохо! А давайте-ка угадаем, что же мы услышим за месяц-два до дедлайна от мозилки?
> Охохо! А давайте-ка угадаем, что же мы услышим за месяц-два до дедлайна
> от мозилки?не надейтесь, не тот случай, к сожалению.
Последние два предложения говорят что проблемы есть но они не опасны и устранимы. Закрыть ради того чтобы закрыть.
> Закрыть ради того чтобы закрыть.чего-йта мне вот кажется, что не только ради, и кто-то таки научился ломать прекрасные шифры djb/Ланге, на которые всех старательно спихивают.
уж больно много усилий вложено с самых разных направлений.
интересно, кто первый догадается скомбинировать три шифра: AES, бернштейовские и ГОСТы ?
Не всегда комбинация шифрования является удачной идеей. Пример: комбинация RC4 с RC4 приводит к расшифрованным данным на выходе. Зато скорость просядет в разы и предсказуемость ухучшится - три алгоритма требуют намного больше инициализации, управления ключами и прочей расчистки памяти. А если это не сделать, потом кто-нибудь ключи утащит на раз. Тем более что спектры и мелтдауны как раз с нами.
начнем с того, что RC2 и RC4 - это было вредительство.> скорость просядет в разы
наплевать. шифрование не для быстроты.
> предсказуемость ухучшится
предскауемость чего ?
Скорее закрыть ради того, чтоб сбросить груз поддержки старых протоколов.
И кучу атак с даунгрейдом версии протокола, чтобы потом это атаковать успешнее.
Да, попадос на ИБП, сетевые устройства, бытовуху... Отключить - я бы ещё понял. Но зачем выпиливать???
> Да, попадос на ИБП, сетевые устройства, бытовуху... Отключить - я бы ещё
> понял. Но зачем выпиливать???вы что, не умеете использовать curl для администрирования через вебморду?
если веб-морда вся из себя модная и молодежная (xmlrpc, ajax, node.js, вот это вот все) - да, не умею.
А если там в каком-нибудь IPMI еще требуется по старинке джава плагин, а не по-новому java ws, то вообще хреново :)
java ws тоже почти eol, кстати (закончится вместе с 8 явой)
Лишний пример того чем плохи вендорлоки и проприетарщина...
а в чём проблема? шо так запросы слать, шо так.
попробуйте для начала выборочно грабануть какой-нибудь модный динамический сайт.
инструменты - firefox, плагин типа httpdump и curl.
> если веб-морда вся из себя модная и молодежная (xmlrpc, ajax, node.js, вот это вот все)То пускай она поддерживает tls 1.2, RFC 2008 года, тогда ноды ещё не существовало. Иначе это оксюморон.
> если веб-морда вся из себя модная и молодежная (xmlrpc, ajax, node.js, вот это вот все) - да, не умею.Хинт: посмотри что ajax морда шлет бэкэнду. И посылай это curl'ом. Он вполне пригоден для дергания "web api".
Смотрите, TLS 1.2 уже 10 лет. Если у вас в сети есть устройства, которые его не умеют, значит они не обновлялись сравнимый срок, имеют помимо этого кучу других дыр и подвергают опасности всех пользователей как вашей локальной сети, так и интернета. Вас, по-хорошему, нужно судить, а вам не нравится что вы с этим дырявым старьём не сможете общаться из современного браузера.
Да что вы говорите, вот беру первый попавшийся IPMI KVM на базе AMI MegaRAC (в данном случае на матери Tyan, но вообще много кто ставил модифицированный MegaRAC). Так там не то что 1.1, а вообще 1.0! Материнке года 4, наверное, сервер еще служит исправно. Обновление IPMI последнее.Аналогично с другим железом, работает какая-нибудь ASA 5540 и не жужжит. Обновления безопасности, кстати, выходят - посмотрите дату выхода ASA 9.1.7.29, например. Но - TLS1.0 только!
> Да что вы говорите, вот беру первый попавшийся IPMI KVM на базе
> AMI MegaRAC (в данном случае на матери Tyan, но вообще много
> кто ставил модифицированный MegaRAC). Так там не то что 1.1, а
> вообще 1.0! Материнке года 4, наверное, сервер еще служит исправно. Обновление
> IPMI последнее.
> Аналогично с другим железом, работает какая-нибудь ASA 5540 и не жужжит. Обновления
> безопасности, кстати, выходят - посмотрите дату выхода ASA 9.1.7.29, например. Но
> - TLS1.0 только!"У каждой ошибки есть имя, фамилия и отчество" Лаврентий Берия
у этой ошибки есть ваша фамилия, человека, выбравшего "IPMI KVM на базе AMI MegaRAC (в данном случае на матери Tyan)"
потому что это не ошибка, и kvm'ы выбирают не за поддержку наираспоследнего выcepa гугля и купленных им "комитетов", а внешние - за удобство использования - от качества разъемов и до умения правильно передавать коды спецклавиш, а не только пресловутый c-a-d, встроенные в мать - за характеристики самой матери, а там уж - что дали.
И обычно не выставляют голой задницей в интернет, если сервера хоть сколько-то дороги, поэтому лучше б там не было и той видимости секьюрити которая есть.
Раз обновления выходят, то пинайте вендора. Вы ведь ему деньги заплатили, а не Мозилле.
На самом деле, уже поздно - 30 сентября закончили поддержку. Но проблема безопасности TLS 1.0/1.1 была и раньше. Но - не чесался никто ее исправлять, покупайте новое железо типа, там все ок. А с точки зрения бизнеса - зачем выкидывать железку, которая работает и устраивает?
Так вас старое железо устраивает или не устраивает? Теперь оно не будет работать с современными браузерами и что такого. Раз устраивает, то решайте вопрос с копией браузера старой версии, которая будет поддерживать. На крайняк, как уже писал выше, используйте виртуальную машину с нужным для администрирования софтом.
Спасибо, поднял настроение.
А готовы ли вы лично из своего кармана оплатить всем, имеющим устаревшие устройства, покупку новых, пользователе-контролируемых и без бекдоров? Оплата включает в том числе создание бизнеса по их производству, если бизнеса, их производящего не будет существовать.
Плюсую. Призывы покормить корпорастов здесь выглядят, по меньшей мере, странно.
А откуда, простите, вы придумали про кормление корпорастов? Продукция корпорастов, даже если её купить завтра, имеет все шансы не поддерживать современный TLS и быть насквозь дырявой. Я призываю, если уж на то пошло, пользоваться свободным софтом и регулярно его обновлять.
Нет, я из собственного кармана готов оплатить создание максимального количества проблем пользователям дырявого старья. А за свои ошибки платите сами.
«В самих протоколах TLS 1.0/1.1 отсутствуют критические уязвимости, которые можно использовать для осуществления практических атак.»
Вот поэтому и хотят поменять=)
TLS 1.3 тоже пусть выпиливают - всего же чуть больше 5%.
Если что, это набралось всего за полтора месяца.
Ну и что, пусть выключают. Наберётся больше 30% хотя бы - включат обратно.
Простите, а в нём тоже есть нерешаемые проблемы с безопасностью которые решены в более свежих версиях?
Через 2 года уже TLS 1.3 во всю будет, так что смело и 1.2 к тому времени можно, а то и нужно, будет выпилить.
так выпиливай у себя, никто не мешает. за одно ipv4 выпили тоже, а то он типа старый и немодный тоже :)
1 Через 2 года (к середине 20-ого) выпилю обязательно!
1.0 и 1.1 Выпилил более года назад.
2 Я не знаю не одного провайдера в России и в Украине, который бы мне мог выдать ipv6 (искал).
Так что ipv4 у нас будет жить ещё долго.P.S. Вы понимаете разницу между потенциальной безопасностью и хипстерством?
> Я не знаю не одного провайдера в России и в Украине, который бы мне мог выдать ipv6 (искал).Ростелеком.
>> Я не знаю не одного провайдера в России и в Украине, который бы мне мог выдать ipv6 (искал).
>Ростелеком.Странно, то ли в Липецке они не предоставляют, то ли только для юрлиц, то ли то и другое сразу.
В любом случае это один из самых дорогих и худший домашних провайдеров в Липецке, хуже только ДомФу.
А, мне привидилась частица "не".
Нет, Ростелеком не выдаёт.
>> Я не знаю не одного провайдера в России и в Украине, который бы мне мог выдать ipv6 (искал).
> Ростелеком.Брехня
Тоже не могу добиться от Ростелекома IPv6. В новом маршрутизаторе хотя бы надпись есть, что у PPPoE отключен IPv6. В старом даже этого не было, а маршрутизаторы для оптики у них специфические, завязанные на станционное железо.
Единственный провайдер, где я полноценно пользовался IPv6 - это Дом.ру. Правда там адреса динамические и никак не сделать статическими. Да и там, где я сейчас живу, провайдер не предоставляет услуги.
Дом.ру вроде как может, но странно и мутно - не во всех городах и даже не во всех случаях. Скажем если подключаться к "старой" сети Interzet (был поглощен Дом.ру) со статическим IP, то никакого ipv6.
Мне в Липецке никто из 5-ти провайдеров (Sumtel, Телемир, Зелёная точка, Вротелеком и домфу) PTR-запись на выделенный IP прописать не могут, к сожалению, куда им там до ipv6...
При этом даже ipv4 дают через перенаправление портов на своём оборудовании на мой серый.
Зачем в чебурашке сложноконтролируемый IPv6?
Я прекрасно понимаю что он не нужен тут вообще!
Я его хотел в нагрузку к IPv4 для того чтобы поиграться с ним.
Это у анонима https://www.opennet.ru/openforum/vsluhforumID3/115584.html#16 спросите.
Если хочется поиграться есть много технологий сервисов позволяющих получить v6 из v4.
> Если хочется поиграться есть много технологий сервисов позволяющих получить v6 из v4.Это будет не то, это всего-лишь эмуляция, которая даже если и будет полноценной, то без IPv4 будет не работоспособна.
Нужен полноценный, который будет прописан в настройках сети.
Это формальности. Ты не забывай что большинство сайтов не будут работать без v4 что не позволит тебе отключить v4.
> Это формальности. Ты не забывай что большинство сайтов не будут работать без
> v4 что не позволит тебе отключить v4.Мне больше интересно как мои же сервисы (почта, вэб, ssh и прочие) будут работать и видеться по v6, а также как это будет маршрутизироваться и пробрасыватся при необходимости на другие устройства.
И какие с ним будут проблемы, которых у меня не было раньше или наоборот полезности.
IPv6 сделан для того, чтобы твои сервисы не нашли боты и кулхацкеры, а ты хочешь всю идею поломать.
> большинство сайтов не будут работать без v4Гугла, фейсбука и федоры хватит всем!
Роскомнадзор уже предупредил провайдеров, чтобы готовились к блокировкам по IPv6, в реестре такие адреса начнут появляться. А как провайдер будет это блокировать (ну там у железок конечное предельное число записей, которое они могут обработать, не встав колом) - никого не колышет. Тыжпровайдер.
Провайдеры заблокировали наглухо до предупреждений РКН.
А как сейчас борются с "плохими" хостингами имеющими большие запасы IPv4-адресов? Банят целые подсети.
2. триолан разве не? уж пять лет как, если им верить
> 2. триолан разве не? уж пять лет как, если им веритьЭх триолан - лучший провайдер, с которым я работал... ipv4 аж 2 бесплатно, причём 1-ый принудительно и хочешь по DHCP, хочешь статикой, а PTR-запись прямо из личного кабинета...
Но ipv6 они хотели, но в последний момент забили, как и на триоланМоби (халявный вайфай по Харькову если ты абонент Троиолн) и как на Видеонаблюдение подъезда.
Да и с тем стеком ipv4 адресов, который они закупили у них на всю Украину хватит, им то ipv6 и нафиг не сдался.
Липецк вроде Россия, не?
Точно да!
> за одно ipv4 выпили тоже, а то он типа старый и немодный тоже :)По данным гугла, IPv6 уже составляет 25% трафика и продолжает расти. По данным моего локалхоста — ~80% трафика передаётся через IPv6. Судя по тому, что в прошлом году IPv6 трафик на локалхосте не превышал и 30%, в следующем действительно можно будет выпиливать IPv4.
Ой чую что начнётся ерунда творится при подключении на гос-закупки и пр.
> Данные Mozilla, собранные через систему телеметрии в Firefox, показываютНу да! Мозилла защищает наши данные!
Телеметрия бывает двух видов: хорошая и плохая. Хорошая телеметрия - та, что собирает Мозилла. Плохую собирают все остальные. Следовательно, твой аргумент некорректен
Мы следим за сайтами, а не за пользователями.
мы вам верим, вы ж швятые, швятые!
Капец нашим госсайтам. ЕИС и так заставляет юзеров сидеть на сдохшем осле 10 и 11 версий.
это вашим пенсиям и чему там еще капец. А госсайты откроют новый тендер на переделку на новый стандарт.
И придется гос структурам на своих сайтах сидеть в эксплорере))))
> Разработчики браузеров Firefox, Chrome, Edge и Safari предупредили о грядущем прекращении поддержки протоколов TLS 1.0 и TLS 1.1
> В самих протоколах TLS 1.0/1.1 отсутствуют критические уязвимости, которые можно использовать для осуществления практических атак.Эти два факта подводят к мысли, что браузеры захватили кукловоды, и кукловоды очень недовольны TLS 1.0 и TLS 1.1, а вместо них норовят впихнуть дырявые TLS 1.2 и особенно TLS 1.3.
1.2 и 1.3 менее безопасны, чем 1.0 и 1.1?
> 1.2 и 1.3 менее безопасны, чем 1.0 и 1.1?они настолько сложны и замороченны, что, увы, проверить это нельзя.
но чье-то упорное желание запретить (точно так же непроверяемые) старые версии вызывает определенные подозрения что это жжж кем-то неплохо проплачено.
TLS 1.3 как раз сильно упростился, ибо кучу сомнительных возможностей выпилили. В среднестатистической реализации технически грамотный человек разоберётся за день, а бехграмотному остаётся только искать скрытые мотивы.
Если внимательно прочитать новость и вспомнить сроки поддержки Windows 7 SP1 и Windows Server 2008 R2 то можно понять что выпиливание TLS 1.0 / TLS 1.1 планируется только на Windows 8.1 / Windows Server 2012 и более новых ОС. Госсайты скорее выплюнут новое требование совместимости Windows 7 + КриптоПРО 4.0/5.0 и ничего более.