TLS является последователем SSL, протокола, который дает надежное и безопасное соединение между узлами в интернете. Его используют при разработке различных клиентов, включая браузеры и клиент-серверные приложения. Что такое TLS в Internet Explorer?
Немного о технологии
Все предприятия и организации, которые занимаются финансовыми операциями, используют данный протокол для исключения прослушки пакетов и осуществления несанкционированного доступа злоумышленниками. Эта технология создана защищать важные соединения от атак злоумышленников.
В основном, в своей организации используют встроенный браузер. В некоторых случаях – Mozilla Firefox.
Включение и отключение протокола
На некоторые сайты иногда невозможно зайти из-за того, что отключена поддержка технологий SSL и TLS. В обозревателе всплывает соответствующее уведомление. Итак, как же включить протоколы, чтобы продолжать пользоваться безопасной связью?
1.Откройте Панель управления через Пуск. Еще один способ: открыть Эксплорер и нажать на иконку шестеренки в правом верхнем углу.
2.Зайдите в раздел «Свойства браузера» и откройте блок «Дополнительно».
3.Поставьте галочки рядом с «Использовать TLS 1.1 и TLS 1.2».
4.Кликните по ОК для сохранения внесенных изменений. Если вы захотите отключить протоколы, что крайне не рекомендуется делать, особенно если вы пользуетесь интернет-банкингом, снимите отметки с этих же пунктов.
Чем отличаются 1.0 от 1.1 и 1.2? 1.1 – это только немного усовершенствованный вариант TLS 1.0, который частично унаследовал его недоработки. 1.2 является наиболее безопасной версией протокола. С другой стороны, не все сайты могут открываться при этой включенной версии протокола.
Как известно, мессенджер Скайп напрямую связан с Internet Explorer как компонентом Windows. Если у вас не будет отмечен галочкой протокол TLS в настройках, то со Скайпом могут возникнуть проблемы. Программа просто не сможет соединиться с сервером.
Если в настройках Интернет Эксплорер выключена поддержка TLS, все функции программы, связанные с сетью, не будут работать. Более того, от этой технологии зависит сохранность ваших данных. Не пренебрегайте ей, если выполняете финансовые операции в этом браузере (покупки в интернет-магазинах, перевод денег через интернет-банкинг или электронный кошелек и т.д.).
При переходе на какой-либо государственный или служебный портал (например, «ЕИС») пользователь может внезапно столкнуться с ошибкой «Не удается безопасно подключиться к этой странице. Возможно, на сайте используются устаревшие или ненадежные параметры безопасности протокола TLS». Данная проблема имеет довольно распространённый характер, и фиксируется на протяжении нескольких лет у различных категорий пользователей. Давайте разберёмся с сутью данной ошибки, и вариантами её решения.
Как известно, безопасность подключения пользователей к сетевым ресурсам обеспечивается за счёт использования SSL/TSL – криптографических протоколов, ответственных за защищённую передачу данных в сети Интернет. Они используют симметричное и ассиметричное шифрование, коды аутентичности сообщений и другие специальные возможности, позволяющие сохранять конфиденциальность вашего подключения, препятствуя расшифровке сессии со стороны третьих лиц.
Если при подключении к какому-либо сайту браузер определяет, что на ресурсе используются некорректные параметры протокола безопасности SSL/TSL, то пользователь получает указанное выше сообщение, а доступ к сайту может быть заблокирован.
Довольно часто ситуация с протоколом TLS возникает на браузере IE – популярном инструменте работы со специальными государственными порталами, связанными с различными формами отчётности. Работа с такими порталами требует обязательного наличия браузера Internet Explorer, и именно на нём рассматриваемая проблема возникает особенно часто.
Причины ошибки «Возможно, на сайте используются устаревшие или ненадежные параметры безопасности протокола TLS» могут быть следующими:
Как исправить дисфункцию: Используются ненадёжные параметры безопасности TLS
Решение возникшей проблемы может состоять в способах, описанных ниже. Но перед их описанием рекомендую просто перезагрузить ваш ПК – при всей тривиальности данный способ часто оказывается довольно эффективным.
Если же он не помог, тогда выполните следующее:
Заключение
Причиной ошибки «Возможно, на сайте используются устаревшие или ненадежные параметры безопасности протокола TLS» довольно часто является локальный антивирус ПК, по определённым причинам блокирующий доступ к нужному интернет-порталу. При возникновении проблемной ситуации рекомендуется первым делом отключить ваш антивирус, дабы убедиться, что он не вызывает рассматриваемую проблему. Если же ошибка продолжает повторяться, тогда рекомендую перейти к реализации других советов, описанных ниже, чтобы позволит решить проблему ненадёжных параметров безопасности протокола TSL на вашем ПК.
Согласно отраслевым рекомендациям по безопасности и целостности данных, компания Salesforce требует обновить текущий протокол шифрования на TLS 1.2 до сентября 2019 года. Примерно в это время начнется выключение протокола шифрования TLS 1.1. Во избежание нестабильной работы экземпляра производственной среды, рекомендуемые действия должны быть выполнены до наступления данной даты. Данная статья содержит всю доступную информацию о выключении протокола шифрования TLS 1.1. Данная статья будет обновляться по мере появления новой информации.
Выключение TLS 1.1 для других служб Salesforce (например, Marketing Cloud, Heroku, Pardot, SalesforceIQ и т. д.) в настоящее время оценивается. Дополнительная информация будет доступна после утверждения планов и крайних сроков.
?TLS расшифровывается как Transport Layer Security (безопасность транспортного уровня). Это протокол, обеспечивающий конфиденциальность и целостность данных между двумя взаимодействующими приложениями. На сегодняшний день данный протокол безопасности является наиболее распространенным, поэтому используется для веб-обозревателей и других приложений, требующих безопасного обмена данными по сети. TLS гарантирует правильность подключения к удаленной конечной точке посредством шифрования и проверки подлинности конечной точки. В настоящее время доступны следующие версии: TLS 1.0, TLS 1.1, TLS 1.2 и TLS 1.3.
Веб-подключения и API-подключения Salesforce, а также доставка эл. почты, используют TLS в качестве основного компонента безопасности. Протоколы HTTPS (веб) и STARTTLS SMTP (эл. почта) используют TLS в качестве основного компонента безопасности.
Операционная система Windows Vista, XP или более ранней версии является несовместимой и не может быть настроена для поддержки TLS 1.1 или TLS 1.2.
Internet Explorer 7 или более ранней (настольной) версии
Internet Explorer 10 или более ранней (мобильной) версии
Microsoft Edge
Mozilla Firefox
Firefox 27 или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Совместимо, но не по умолчанию.
Чтобы использовать about:config для включения TLS 1.1 или TLS 1.2, обновите значение конфигурации security.tls.version.max на "2" для TLS 1.1 или "3" для TLS 1.2.
Firefox 23 или более ранней версии
Несовместимо при использовании TLS 1.2.
Google Chrome
Совместимо с последней версией (независимо от операционной системы).
Google Chrome 38 или более поздней версии
Совместимо при использовании TLS 1.2.
Google Chrome 30-37
Совместимо при наличии операционной системы Windows XP SP3, Vista или более поздней (настольной) версии, OS X 10.6 (Snow Leopard) или более поздней (настольной) версии, Android 2.3 (Gingerbread) или более поздней (мобильной) версии.
Google Chrome 29 или более ранней версии
Несовместимо при использовании TLS 1.2.
Обозреватель операционной системы Google Android
Android 5.0 (Lollipop) или более поздней версии
Совместимо при использовании TLS 1.2.
Android 4.4 (KitKat)-4.4.4
Может быть совместимо при использовании TLS 1.2 или более поздней версии. Некоторые устройства, оснащенные операционной системой Android 4.4.x, могут не поддерживать TLS 1.2.
Android 4.3 (Jelly Bean) или более ранней версии
Несовместимо при использовании TLS 1.2.
Apple Safari
Safari 7 или более поздней (настольной) версии для операционной системы OS X 10.9 (Mavericks) или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Safari 6 или более ранней (настольной) версии для операционной системы OS X 10.8 (Mountain Lion) или более ранней версии
Несовместимо при использовании шифрования TLS 1.1 или более поздней версии.
Safari 5 или более поздней (мобильной) версии для операционной системы iOS 5 или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Safari (мобильная версия) для операционной системы iOS 4 или более ранней версии
Несовместимо при использовании TLS 1.2.
Использование веб-обозревателя
В зависимости от точки доступа, пользователю, пытающемуся получить доступ к организации посредством веб-обозревателя, использующего TLS 1.1 после включения параметра "Требовать протокол TLS 1.2 или более поздней версии для подключений HTTPS", отображается сообщение об ошибке, содержащее рекомендации по дальнейшим действиям для исправления данной несовместимости.
См. сводную таблицу ниже.
| Точка доступа | Сообщение об ошибке пользователя | Язык сообщения |
|
login.salesforce.com |
Сообщение об ошибке отображается только после входа пользователя посредством данной страницы. |
Отображается на языке Salesforce пользователя. |
|
Страница входа для функции "Мой домен" |
Отображается на стандартном языке организации. |
|
|
Сайт или сообщество |
Сообщение об ошибке отображается при посещении данной страницы. |
Отображается на языке Salesforce пользователя-гостя сайта. |
|
Web-to-Lead или Web-to-Case |
Сообщение об ошибке отображается при отправке данных с внешней страницы в систему Salesforce. Отправленные данные архивируются без создания интереса или обращения. Чтобы повторить данные архивные отправки, обратитесь в службу поддержки Salesforce и зарегистрируйте соответствующее обращение. | |
|
Страница входа или восстановления пароля клиентского или партнерского портала (не посредством сайта) | Сообщение об ошибке отображается при посещении данной страницы. |
Отображается на стандартном языке портала. |
Дополнительную информацию см. ниже (в зависимости от используемого обозревателя и операционной системы).
Совместимо с последней версией (независимо от операционной системы).
Java 8 (1.8) или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Включите TLS 1.2 посредством системного свойства Java (https.protocols) для HttpsURLConnection. Чтобы включить TLS 1.2 для подключений, отличных от HttpsURLConnection, настройте включенные протоколы в созданных экземплярах SSLSocket и SSLEngine внутри исходного кода приложения. При отсутствии возможности внедрения более новой версии Oracle Java рекомендуем временно использовать IBM Java.
Java 6 (1.6) или более ранней версии
Несовместимо при использовании TLS 1.2. При отсутствии возможности внедрения более новой версии Oracle Java рекомендуем временно использовать IBM Java.
Java (IBM)
Совместимо при использовании TLS 1.2 или более поздней версии по умолчанию. При необходимости задайте , если вызываемое приложение или библиотека использует SSLContext.getinstance("TLS").
Java 7 или более поздней версии, Java 6.0.1 Service Refresh 1 (J9 VM2.6) или более поздней версии, Java 6 Service Refresh 10 или более поздней версии
Включите TLS 1.2 посредством системного свойства Java (https.protocols) для HttpsURLConnection и системного свойства Java (com.ibm.jsse2.overrideDefaultProtocol) для подключений SSLSocket и SSLEngine (согласно рекомендациям, указанным в документации IBM). При необходимости задайте com.ibm.jsse2.overrideDefaultTLS=true .
NET 4.6 или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
NET 4.5, 4.5.1 и 4.5.2 не поддерживают TLS 1.2 по умолчанию. Включение может быть выполнено двумя описанными ниже способами.
Способ 1.
Приложения.NET могут включать TLS 1.2 прямо в коде программного обеспечения путем настройки System.Net.ServicePointManager.SecurityProtocol для включения SecurityProtocolType.Tls12 и SecurityProtocolType.Tls11. Ниже приведен пример кода C#.
System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls;
Способ 2.Чтобы включить TLS 1.2 по умолчанию без изменения исходного кода, задайте значение "1" параметру DWORD (SchUseStrongCrypto) в следующих двух разделах реестра (при их отсутствии создаются пользователем): "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" и "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319". Несмотря на наличие версии 4.0.30319 в данных разделах реестра, .NET 4.5, 4.5.1 и 4.5.2 также используют данные значения. Тем не менее, данные разделы реестра будут включать TLS 1.2 по умолчанию во всех установленных приложениях.NET 4.0, 4.5, 4.5.1 и 4.5.2 используемой системы. Именно поэтому, рекомендуем проверить данное изменение перед его развертыванием на производственных серверах. Кроме того, данное изменение доступно в виде файла импорта реестра . Тем не менее, данные значения реестра не повлияют на приложения.NET, которые задают значение System.Net.ServicePointManager.SecurityProtocol.
NET 4.0 не поддерживает TLS 1.2 по умолчанию. Чтобы включить TLS 1.2 по умолчанию, установите.NET Framework 4.5 или более поздней версии и задайте значение "1" параметру DWORD (SchUseStrongCrypto) в следующих двух разделах реестра (при их отсутствии создаются пользователем): "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" и "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319". Тем не менее, данные разделы реестра могут включать TLS 1.2 по умолчанию во всех установленных приложениях.NET 4.0, 4.5, 4.5.1 и 4.5.2 используемой системы. Рекомендуем проверить данное изменение перед его развертыванием на производственных серверах. Кроме того, данное изменение доступно в виде файла импорта реестра .
Тем не менее, данные значения реестра не повлияют на приложения.NET, которые задают значение System.Net.ServicePointManager.SecurityProtocol.
NET 3.5 или более ранней версии
Несовместимо при использовании TLS 1.2.
Совместимо с последней версией (при наличии операционной системы, поддерживающей TLS 1.2).
Python 2.7.9 или более поздней версии
Совместимо при использовании TLS 1.2 или более поздней версии по умолчанию.
Python 2.7.8 или более ранней версии
Несовместимо при использовании шифрования TLS 1.2 или более поздней версии.
Совместимо с последней версией (при связывании с OpenSSL 1.0.1 или более поздней версии).
TLS 1.2 включается по умолчанию при наличии OpenSSL 1.0.1 или более поздней версии. Использование символа:TLSv1_2 (предпочтительно) или:TLSv1_1 с параметром ssl_version объекта SSLContext гарантирует выключение TLS 1.1 или более ранней версии.
Ruby 1.9.3 или более ранней версии
Несмотря на отсутствие символа:TLSv1_2 в Ruby 1.9.3 или более ранней версии, Ruby поддерживает его добавление и компиляцию с OpenSSL 1.0.1 или более поздней версии.
Microsoft WinInet
Совместимо при использовании TLS 1.2 по умолчанию.
Windows Server 2008 R2-2012
Совместимо по умолчанию (при наличии обозревателя Internet Explorer 11). При наличии обозревателя Internet Explorer 8, 9 или 10 протокол TLS 1.2 включается пользователем или администратором.
Несовместимо при использовании TLS 1.2.
Безопасный канал Microsoft
Совместимо с последней версией.
Windows Server 2012 R2 или более поздней версии
Windows 8.1 или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Windows Server 2012
По умолчанию протокол TLS 1.2 выключен, но доступен при его поддержке приложением. Протоколы TLS 1.1 и TLS 1.2 могут быть включены по умолчанию внутри реестра файла импорта реестра .
Windows Server 2008 R2
Совместимо по умолчанию в режиме клиента (при наличии обозревателя Internet Explorer 11). При отсутствии обозревателя Internet Explorer 11 или при необходимости подключения системы Salesforce к службе, выполняемой в системе данного типа, протокол TLS 1.2 может быть включен по умолчанию внутри реестра . Кроме того, данные параметры реестра доступны в виде файла импорта реестра .
Windows Server 2008 или более ранней версии
Windows Vista или более ранней версии
Несовместимо при использовании TLS 1.2.
Windows Server 2012 R2 или более поздней версии
Windows 8.1 или более поздней версии
Совместимо при использовании TLS 1.2 по умолчанию.
Windows Server 2008 R2 SP1 и 2012
Как помочь конечным пользователям в управлении данным изменением?
При получении доступа к системе Salesforce посредством TLS 1.1 пользователям (включая внутренних и внешних участников сообщества) может отображаться уведомление о необходимости обновления веб-обозревателя или его параметров.
Для этого, воспользуйтесь указанными ниже методами.
Пакет AppExchange.
Пакет TLS 1.1 Compatibility User Message будет доступен в каталоге AppExchange в ближайшее время. Данный пакет предназначен для доставки пользователям TLS 1.1 внутрипрограммных уведомлений, содержащих подробные инструкции по обеспечению совместимости с TLS 1.2.
Контроллер страницы Visualforce.
При наличии опыта разработки Visualforce и Apex проверьте значение ApexPages.currentPage().getHeaders().get("CipherSuite"), если не является нулевым, для подстроки " TLSv1 " (включая начальные и конечные пробелы). При его наличии используется TLS 1.1, а страница Visualforce может отображать уведомление о необходимости обновления веб-обозревателя или его параметров.
Как определить пользователей организации, выполняющих подключения TLS 1.1?
Данная статья Knowledge описывает три способа определения пользователей, подверженных данному изменению (включая журнал входов, отчеты и Workbench):
ПРИМЕЧАНИЕ. Отчет по журналу входов для всех пользователей организации может просматриваться и выполняться только пользователями с полномочием "Управление пользователями" . При отсутствии полномочия "Управление пользователями" обратитесь к администратору, имеющему необходимые полномочия на выполнение отчета "Журнал входов" для всех пользователей.
Как выполнить тестирование перед выключением TLS 1.1?
Новый параметр консоли критических обновлений "Требовать протокол TLS 1.2 для подключений HTTPS" будет доступен в ближайшие недели.
Что делать при использовании перехватывающего HTTPS прокси-сервера в сети?
Некоторые сети перехватывают исходящий трафик HTTPS путем использования прокси-сервера, создающего собственные сертификаты, поэтому обмен данными с системой Salesforce и другими конечными точками, который не шифруется, может тщательно контролироваться. Данные прокси-серверы создают собственные подключения TLS к системе Salesforce. Сети, использующие данный тип прокси-сервера, должны гарантировать поддержку TLS 1.2 и выбор TLS 1.2 при подключении к системе Salesforce. Отклонения от стандартного режима работы могут возникать при условии, что прокси-сервер не поддерживает TLS 1.2 или выбирает TLS 1.1 вместо TLS 1.2 при подключении к удаленным конечным точкам.
- Запретите перехватывающему HTTPS прокси-серверу перехватывать подключения HTTPS к субдоменам *.salesforce.com и *.force.com системы Salesforce. Данный алгоритм является предпочтительным, так как обеспечивает сквозную конфиденциальность между веб-обозревателями конечных пользователей и системой Salesforce.
- Если перехват HTTPS требуется политикой компании, либо не может быть удален или исключен по иным обстоятельствам, воспользуйтесь новой версией прокси-сервера, поддерживающей TLS 1.2 или, как минимум, TLS 1.1.
- Если перехватывающий HTTPS прокси-сервер не поддерживает TLS 1.2, но выбирает TLS 1.1 путем его использования в исходных сообщениях ClientHello, разрешите конфигурации прокси-сервера выбирать TLS 1.2 вместо TLS 1.1 при подключении к субдоменам *.salesforce.com и *.force.com системы Salesforce.
Новый параметр консоли критических обновлений "Требовать протокол TLS 1.2 для подключений HTTPS в сообществах и на сайтах Salesforce" будет доступен в ближайшие недели.
Прежде чем тестировать данное обновление в производственной организации, клиентам будет рекомендоваться его тестирование в безопасной среде для подтверждения сквозной совместимости.
Чтобы подготовиться к включению TLS 1.2, рекомендуем заранее проверить последствия выключения TLS 1.1 для пользователей организации посредством нового параметра консоли критических обновлений: "Требовать протокол TLS 1.2 или более поздней версии для подключений HTTPS".
Поддержка клиентом агента Email-to-Case протокола TLS 1.2 и более новых версий возможна только после обновления Java.
Обновите среду Java до версии 8, как указано в таблице ниже, чтобы обеспечить работоспособность Email-to-Case.
ПОСЛЕДСТВИЯ ДЛЯ ПРИЛОЖЕНИЙ APPEXCHANGE
Определите совместимость приложений AppExchange с процессом выключения TLS 1.1 компанией Salesforce путем налаживания непосредственного контакта с поставщиком и/или партнером.
На сегодняшний день множество людей и организаций пользуются услугами интернет-банкинга. Банки периодически проводят аудиты безопасности своих систем, выпускают инструкции и рекомендации по безопасной работе с интернет-банком, но при этом пользователи не всегда знают – хорошо ли защищено соединение с интернет-банком, которым они привыкли пользоваться.
В этой статье мы оценим защищенность подключений к онлайн-сервисам ТОП-50 российских банков (по активам) .
Безопасность подключения пользователей к интернет-банкам обеспечивается использованием протоколов SSL/TLS. На текущий момент известны «громкие» уязвимости SSL/TLS, которым даже были даны имена и/или логотипы (Beast, Poodle, Heartbleed, Freak, Logjam). Известные уязвимости SSL/TLS в том числе позволяют расшифровывать сессии, перехватывать и подменять данные, передаваемые между пользователем и сервером, что в силу очевидных причин упускается из внимания большинством пользователей.
Зачастую проблема заключается в использовании устаревших и слабых при текущем уровне вычислительных мощностей криптоалгоритмов, а где-то наличием неустраненных уязвимостей используемого ПО. Все это ставит под угрозу безопасность платежей, совершаемых пользователями в интернет-банках.
Уровень защищенности SSL/TLS российских банков
Для оценки уровня защищенности конфигурации SSL/TLS на серверах можно использовать бесплатный инструмент «SSL Server Test» от Qualys SSL Labs. С помощью данного инструмента независимый исследователь Трой Хант сделал свод по соответствующему уровню защищенности австралийских банков .В комментариях к статье Троя можно увидеть ссылки на аналогичные таблицы для разных стран: Литва , Дания , Голландия , Голландия-2 , Чехия , Великобритания .
Мной была подготовлена аналогичная таблица (от 22.05.15) для ТОП-50 банков РФ.
В целом ситуация далека от идеала. Среди банков первой десятки четыре оценки «F» и по сравнению с другими странами это плохой показатель.
За исключением Logjam, с момента обнаружения указанных уязвимостей и проблем протоколов/криптоалгоритмов прошло довольно много времени, что как минимум свидетельствует об отсутствии со стороны многих банков периодического контроля защищенности своих веб-ресурсов, либо проведения соответствующих компенсирующих мероприятий.
Каждому веб-ресурсу присвоена оценка «SSL Server Test» со шкалой от A до F . Плюс и зеленый цвет означают отсутствие соответствующей уязвимости/проблемы. Минус и красный цвет свидетельствуют об обратном. Некоторые веб-ресурсы проверить не удалось по причинам, указанным в таблице.
Основные выводы
- Некоторые банки по-прежнему используют небезопасные параметры обмена ключами Diffie-Hellman с длиной ключа 512 и 768 бит, что автоматически снизило их общую оценку до «F» (такой случай встречается и в первой десятке). Уязвимые ресурсы отмечены минусами в столбце «DH».
- Часть банков уязвима к FREAK-атакам , что снизило их общую оценку до «F». С помощью данной уязвимости злоумышленники могут форсировать использование клиентским браузером слабой криптографии из «экспортного» набора шифров RSA. Уязвимые к атаке ресурсы отмечены минусами в столбце «Freak».
- Немалая часть веб-ресурсов имеет уязвимость POODLE , что снизило их общую оценку до «F». С помощью данной уязвимости злоумышленники могут получить доступ к зашифрованной информации, передаваемой между клиентом и сервером. В основном, это уязвимости небезопасного протокола SSL3 и они могут быть устранены путем отключения протокола SSL3 на веб-серверах. В двух случаях уязвимым к POODLE протоколом является TLS и для устранения уязвимости требуется установка патча. Уязвимые к атаке ресурсы отмечены минусами в столбце «POODLE».
- Несколько банков по-прежнему используют небезопасный протокол SSL2, что снизило их общую оценку до «F». Протокол SSL2 использует небезопасную криптографическую хеш-функцию MD5 и слабые шифры. Возможны MITM-атаки из-за отсутствия SSL-подтверждения. Кроме того, SSL2 также использует флаг TCP FIN для закрытия сеанса, который можно подделать, из-за чего пользователь не будет знать, завершена ли передача данных. Ресурсы с поддержкой протокола SSL2 отмечены минусами в столбце «SSL2».
- Значительная часть веб-ресурсов имеет уязвимость Logjam , которая была обнаружена совсем недавно. Наличие уязвимости снизило общую оценку до «B». Как и уязвимость FREAK, Logjam позволяет злоумышленнику форсировать использование клиентским браузером слабой криптографии DH с 512-битными ключами. Уязвимые к атаке ресурсы отмечены минусами в столбце «Logjam».
- Значительная часть банков по-прежнему используют устаревший и небезопасный протокол SSL3, что снизило их общую оценку до «B». Ресурсы с поддержкой протокола SSL3 отмечены минусами в столбце «SSL3».
- Некоторые веб-ресурсы не поддерживают последнюю и наиболее безопасную версию протокола TLS 1.2, что снизило их общую оценку до «B». Ресурсы, не поддерживающие протокол TLS 1.2, отмечены минусами в столбце «TLS1.2».
- Большинство банков по-прежнему используют шифры RC4, что снизило их общую оценку до «B». Уязвимость RC4 связана с недостаточной случайностью потока битов, которым скремблируется сообщение, что позволяет расшифровать перехваченные данные. Ресурсы с поддержкой шифра RC4 отмечены минусами в столбце «RC4».
- Подавляющее большинство банков по-прежнему используют алгоритм хеширования SHA-1, который считается слабым и небезопасным. Уже сейчас веб-браузеры присваивают различные статусы соединениям с SHA-1 («безопасно, но с ошибкам», «небезопасно», «недоверенное»). Игнорируя происходящий в текущий момент отказ от SHA-1, банки приучают своих пользователей не обращать внимания на подобные статусы и сообщения браузера. Использование SHA-1 практически не влияло на общую оценку и отмечено минусами в столбце «SHA-1».
- В подавляющем числе банков не реализована или реализована частично настройка безопасности протоколов согласования ключа - Forward Secrecy . При использовании Forward Secrecy сессионные ключи не будут скомпрометированы при компрометации закрытого ключа. Ресурсы, не использующие Forward Secrecy для большинства современных браузеров, отмечены минусами в столбце «FS».
- Стоит отметить, что уязвимость Heartbleed к счастью не обнаружена ни на одном из протестированных веб-ресурсов.
- Отключить поддержку небезопасных протоколов SSL2, SSL3.
- Включить поддержку наиболее совершенного протокола TLS 1.2.
- Отказаться от использования сертификатов SHA-1.
- Отказаться от использования шифра RC4.
- Настроить Forward Secrecy и убедиться, что функция работает для большинства современных браузеров.
- Устранить уязвимость Poodle путем отключения протокола SSL3, или путем установки патча при уязвимости протокола TLS.
- Устранить уязвимость Freak путем отключения поддержки экспорта наборов шифров.
- Устранить уязвимость Logjam путем отключения поддержки экспорта наборов шифров и генерации уникальной 2048-битной группы Diffie-Hellman.