TLS 1.1 und 1.2 sicher?

[Morphy2k]

Hallo,

ich befasse mich momentan recht ausführlich mit Zertifikaten und HTTP Verschlüsselung und bin gerade dabei alle meine Webseiten vollständig auf HTTPS (inkl. HSTS) umzustellen. Habe mit meiner aktuellen Konfiguration bei SSL LAB A+.
Aktiviert habe ich derzeit ausschließlich TLS 1.0, 1.1 und 1.2.

Vorhin habe ich spaßeshalber mal TLS 1.1 und 1.2 in Chrome forciert, also so dass alles darunter nicht mehr geladen wird.
Nach der Umstellung konnte ich plötzlich hosteurope.de nicht mehr aufrufen weil dort ausschließlich TLS 1.0 unterstützt wird und jetzt frage ich mich was Hosteurope für einen Grund haben könnte aktuellere Versionen nicht zu unterstützen.
Ich denke so ein großer Hoster wird einen triftigen Grund dafür haben?

Ist TLS 1.1 und 1.2 vielleicht unsicherer als 1.0 ? Oder haben die dort einfach nur alte Software im Einsatz?


Grüße

 

[Kasjo]

Du könntest einfach den Support dort fragen. Wäre doch die einfachste Variante.

 

[Morphy2k]

Ich habe jetzt nochmal etwas gesucht, aber nichts gefunden was dafür sprechen würde 1.1 und 1.2 nicht zu verwenden, eher im Gegenteil.

Ich habe HE jetzt mal via Twitter angefragt, bin auf ihre Antwort gespannt

 

[FireW]

Kannst Du hier mal testen!
http://www.noud.de/2013/11/wie-sicher-ist-deine-ssl-verbindung/

 

[Der-Orden-Xar]

1. Nur TLS 1,0, weil: Alte Software (AFAIK z.B. Apache2.2 oder, Win Server 2008 (ohne R2)), unfähige Admins, oder anderes
Andersherum, Kein TLS 1.0 sperrt ziemlich viel aus (alle Androids < 4.4, alle IEs < 11, ...), mit nur TLS 1.0 sperrt man nur den IE6 unter XP/2003 aus (es sei den, man ändert die Einstellungen manuell).

2. TLS 1.1 und speziell 1.2 sind sicherer als 1.0, da
... TLS 1.1 nicht mehr anfällig gegen BEAST ist (dank den lahmen Sä*** von Apple ist das aber eh inzwischen Clientseitig in allen modernen Browsern gefixt).
TLS 1.2 erlaubt AEAD-Ciphers, z.B. AES im GCM-Modus - die sind zumindest gegen BEAST und POODLE immun - das gilt zwar für RC4 auch (hallo Apple, schön wie ihr POODLE gefixt habt), aber RC4 kannst du als (quasi) gebrochen ansehen (Google mal nach BEAST vs RC4, was nun schlimmer ist: Pest oder Cholera). Zudem verbietet TLS 1.2 Ciphers unter 112 Bit Stärke

 

[Morphy2k]

@FireW Danke!

@Der-Orden-Xar Danke, das war recht aufschlussreich!

Wenn Qualys SSL Labs einem ein A+ verleiht dann sollte die Seite eigentlich zu den sichersten gehören, die Regeln sind recht streng dort.

Ich bin noch auf zwei gute Seiten gestoßen die beide von Mozilla sind, https://wiki.mozilla.org/Security/Server_Side_TLS und https://mozilla.github.io/server-side-tls/ssl-config-generator/

Basierend auf den Informationen habe ich meine Nginx Config nochmal überarbeitet und noch etwas sicherer machen können.
Akzeptiert wird jetzt ausschließlich TLS 1.2 + "AES256+EECDH:AES256+EDH", sonst nichts. Auch wenn ich damit natürlich so manche noch weit verbreiteten Browser aussperre, aber Sicherheit geht vor

Hosteurope hat mittlerweile mit folgendem geantwortet.

...alles drunter ist zu unsicher und alles drüber scheint das System nicht zu koennen.

Bisschen schwach finde ich, selbst das very stable Debian liefert nach meinem Wissen mittlerweile Apache 2.4 aus und das kann TLS 1.1+.

 

[FireW]

Ich mache das im FF mit SSL-Version Control 0.4 , kann man dort einstellen!

 

[Morphy2k]

In Chrome (v41) habe ich eine eingebaute Funktion dafür, unter chrome://flags/(#ssl-version-min).

Ergänzung (18. Dezember 2014)

Hosteurope hat mir mitgeteilt das bald ein Update folgen wird und dies auch via Twitter bekannt gegeben wird

 

[Daaron]

Bisschen schwach finde ich, selbst das very stable Debian liefert nach meinem Wissen mittlerweile Apache 2.4 aus und das kann TLS 1.1+.

Falsch gedacht. Debian 7 (also das aktuelle Stable, Debian 8 ist nicht vor Mitte/Ende 2015 zu erwarten) setzt noch auf Apache 2.2 (mit PHP 5.4). Debian 6, also das aktuelle LTS-Release setzt ebenfalls auf Apache 2.2, aber mit PHP 5.3.

Ubuntu 12.04 (also das alte LTS mit Support bis 2017) nutzt ebenfalls Apache 2.2 mit PHP 5.3. Ubuntu 14.04 (aktuelles LTS, Support bis '19) setzt hingegen auf Apache 2.4 und PHP 5.5

CentOS 6... natürlich Apache 2.2, ich glaube mit PHP 5.3. Hab meine einzige CentOS 6 - Maschine aber so sehr modifiziert, dass da inzwischen ebenfalls 5.5 läuft.
CentOS 7 baut auf Apache 2.4 mit PHP... frag mcih nicht. Ich schätze mal 5.5.

Was Apache 2.2 NICHT kann ist Perfect Forward Secrecy für alle Referenzbrowser von SSL Labs (IE 8-11 unter Win7). Außerdem ist kein OCSP Stapling möglich und mit Elliptic Curves ist auch Essig. Das resultiert bei einem unmodifizierten Debian7/Ubuntu12/CentOS6 LAMP Stack in ein maximal mögliches SSL Labs Rating von A-.

Ach ja, WAS Apache 2.2 kann, Apache 2.4 hingegen irgendwie noch nicht: SPDY, genauer gesagt Google mod_spdy. Gibt irgendwie noch kein brauchbares Release für Apache 2.4, während man SPDY unter Apache 2.2 schon seit locker einem Jahr produktiv einsetzen kann, wenn man natürlich im gleichen Atemzug auf mod_php verzichtet (beißt sich irgendwie) und strikt auf CGI-Lösungen wie PHP-FPM setzt.

Das zu den gängigen Stable- und LTS-Distributionen.

Aber:
Hosteurope sind hier wirklich arg peinlich. Denn WAS der Apache 2.2 kann, ist TLS 1.2 sowie TLS_FALLBACK_SCSV. Um präzise zu sein funktioniert z.B. das hier:
TLS 1.2 TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x33)
Das ist eine der Zeilen aus dem SSL Labs Bericht einer unserer Seiten, läuft auf einem Ubuntu 12.04 Server. Unsere Debian 7 - basierten Seiten sehen genauso aus.

 

[Der-Orden-Xar]

Jetzt wo dus sagst...
Die Seite meiner Fakultät läuft auch unter Apache 2.2 und TLS 1.2, SHA2 Cert, A-, da der IE unter was anderem als Win 8.1/10 mit den DHE nicht viel anfangen möchte.
Die Uniseite sieht da schlechter aus. Hat aber immerhin TLS 1.2 unter ka was und ein B rating^^

 

[Daaron]

Das mit dem B-Rating geht schnell, SSL Labs haben vor 1-2 Wochen ihre Regeln verschärft. Mir sind auch unsere Server von A- auf B abgerutscht.
In meinem Falle hing es an 2 Punkten:
- RC4 war noch aktiv
- Certificate Chain fürs kostenlose StartSSL-Cert war nicht explizit eingebunden.
Beides ist für SSL Labs inzwischen ein Garant dafür, maximal ein B zu bekommen.

Wie gesagt, die ganze Zeit vorher (auch direkt nach Heartbleed und Poodle) hatten die Kisten A-,

 

[Morphy2k]

Danke Daaron, wusste ich nicht da wie gesagt ich mich mit dem ganzen SSL Kram erst jetzt auseinander setze.

Aber ein Gutes scheint es dann wohl doch gehabt zu haben, HE ist aufmerksam geworden und kümmert sich drum.

TLS 1.0 zu deaktivieren wäre aber im Moment - wie ich jetzt feststellen musste - für die meisten Webmaster sehr unvorteilhaft, da der Google Crawler kein TLS 1.1 und 1.2 unterstützt. Sehr traurig in Anbetracht dass Google so einen Wind um Verschlüsselung macht. Immerhin ist ein Update laut einem Mitarbeiter schon in Arbeit.

So lange bleibt Google halt bei mir draußen.

 

[Daaron]

Viel brutaler finde ich das hier: https://www.ssllabs.com/ssltest/viewClient.html?name=BingBot&version=Dec 2013
Server Name Indication (SNI) No

Also bitte, wozu ist ein Bot oder Browser gut, der kein SNI kann? Wie vollkommen und elementar nutzlos sind denn solche Dinger? Auf der einen Seite wird nach Verschlüsselung geschrien (Firefox warnt teilweise sogar, wenn eine Seite ohne SSL ein Passwort-Feld besitzt, Chrome wird Non-SSL-Seiten bald wohl als unsicher hervorheben), aber auf der anderen Seite kann der zweitwichtigste Suchmaschinenbetreiber der westlichen Welt kein SNI? Soll also jeder Seitenbetreiber jetzt ne eigene IP besorgen? Schön, vor allem weil sich IPv6 ja so raaaaaadikal schnell verbreitet....


Was TLS 1.0 angeht: Schalt es an, es hindert dich ja an nichts. Jeder fähige Browser wird TLS 1.2 nutzen, wenn du es anbietest. Durch TLS_FALLBACK_SCSV bist du gegen Downgrade-Attacken wie die erste POODLE-Version so oder so geschützt.
https://www.ssllabs.com/ssltest/viewClient.html?name=IE&version=8-10&platform=Win 7 <- Allein deshalb darf man TLS 1.0 nicht ausschalten.

 

[Morphy2k]

Um IE Versionen unter 11 schere ich mich nicht, weder als Serverbetreiber noch als Webentwickler.

Es gibt aber andere Attacken die bei TLS 1.0 funktionieren. Ich werde es mir überlegen.

Gibt es eigentlich schon was zu einem Nachfolger von TLS 1.2 ?

 

[Der-Orden-Xar]

Ja, so weit ich weiß existiert derzeit ein 3. Vorschlag
(MMn) Nennenswerte Unterschiede zu 1.2:
Removed support for static RSA and DH key exchange.
Removed support for non-AEAD ciphers

 

[Daaron]

Um IE Versionen unter 11 schere ich mich nicht, weder als Serverbetreiber noch als Webentwickler.

Dann hast du aber sehr eigenartige Kunden, die gern auf Besucher verzichten.
Du verzichtest ohne TLS 1.0 z.B. auch auf Android <= 4.3, und auf einer unserer stark frequentierten Seiten macht laut Google Analytics Android 4.0 98% des Android-Traffics aus. Mein Huawei Ascend G615 kann z.B. kein Android 4.4, und so geht es vielen Android-Besitzern. Und auch der IE11 hat nur eine Marktdurchdringung von vielleicht 66% innerhalb der IE-User.

IE8 zu ignorieren ist eine Sache, aber IE9/10 kategorisch auszuschließen, zusammen mit vielen Android-Versionen, halte ich für sehr gewagt.

Es gibt aber andere Attacken die bei TLS 1.0 funktionieren. Ich werde es mir überlegen.

BEAST und Co sind aber nur Attacken, die den Client betreffen und auch clientseitig mitigiert werden. Du reißt für User, die aktuellere Systeme verwenden, damit keine zusätzlichen Lücken.

 

[S9tibret]

Mittlerweile bin ich mir ziemlich sicher, das TLS 1.0 definitiv nicht mehr genutzt werden sollte.
Das empfiehlt sogar das BSI in Bezug auf TLS 1.0.

TLS 1.1. und TLS 1.2. sind noch als sicher eingestuft.

 

[Der-Orden-Xar]

Wow eine Antwort nach so langer zeit. Oben habe ich noch draft 3 verlinkt, inzwischen ist Draft 28 nicht mehr aktuell und TLS 1.3 ein Standard

Weiter gilt das von oben nicht mehr ganz, mit TLS 1.0 deaktiviert auf dem Server sperrt man zwar weiterhin Android < 5.0, IE < 11 und andere aus, die Relevanz sollte aber immer weiter sinken, da kein Clientsystem, das noch aktiv vom Hersteller supported wird mehr darauf angewiesen ist.

TLS 1.1 ist halt nur eine kleine Weiterentwicklung von TLS 1.0 und behebt hauptsächlich das paddingprblem, das auch für BEAST verantwortlich war Zudem gibt es kaum Software, die TLS 1.1 aber nicht TLS 1.2 versteht.

TLS 1.2 hat da einige Verbesserungen gebracht und bei TLS 1.3 wirft man auch einige Altlasten endlich mal über Bord.
zB führe TLS 1.2 AEAD ein, TLS 1.3 benötigt das.

Wer beim BSI genauer liest merkt, das TLS 1.0 schon lange nicht mehr empfohlen wird, genauer
TLS 1.0 selbst bei Bestandssystemen nur bis (einschließlich) 2014, nur war das nicht wirklich machbar, mittlerweile ist TLS 1.1 auch nicht mehr in der Empfehlung drin.