TLS 1.0 ve 1.1, yıllar önce güvenlik açıkları nedeniyle eskimiş sayıldı; büyük tarayıcılar 2020 civarında bu sürümlere desteği kaldırdı ve protokoller IETF tarafından RFC 8996 ile resmen kullanımdan kaldırıldı. Bu yüzden yalnızca bu sürümleri sunan siteler modern tarayıcılarda açılmaz.
Belirtiler
Tarayıcı "bağlantı güvenli değil" veya protokol sürümü desteklenmiyor türü bir hata verir (Chrome'da ERR_SSL_VERSION_OR_CIPHER_MISMATCH, Firefox'ta SSL_ERROR_UNSUPPORTED_VERSION gibi).
Sunucunuzu kontrol edin
openssl s_client -connect ornek.com:443 -tls1_2 </dev/null
openssl s_client -connect ornek.com:443 -tls1_3 </dev/nullBu komutlar başarısızsa sunucu modern protokolleri sunmuyordur.
Geçiş adımları
- Sunucu yazılımını ve OpenSSL'i güncelleyin.
- TLS 1.2 ve 1.3'ü etkinleştirip 1.0/1.1'i kapatın.
# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3
# Nginx
ssl_protocols TLSv1.2 TLSv1.3;- Windows Server'da SCHANNEL ayarlarıyla eski protokoller devre dışı bırakılır; değişiklik öncesi yedek alın.
- Eski bir cihaz veya uygulama bağlanamıyorsa önce onu güncelleyin.
Doğrulama
Değişiklik sonrası SSL Checker ile testi tekrarlayın. Modern protokollerle uyumlu yeni bir sertifika gerekiyorsa SSL sertifikalarımızı inceleyebilirsiniz.
Sonuç: TLS 1.2 ve 1.3'e geçmek hem tarayıcı uyumluluğu hem güvenlik için gereklidir.
Sık karşılaşılan durumlar
TLS 1.0/1.1 kaynaklı sorunlar çoğunlukla eski sunucularda, yazıcı veya kamera gibi gömülü cihazlarda ve eski kurumsal uygulamalarda görülür.
- Windows Server 2008 R2 gibi eski sistemlerde TLS 1.2 varsayılan olarak açık olmayabilir; ek yapılandırma gerekir.
- Eski .NET uygulamaları varsayılan olarak eski protokolleri seçebilir; uygulama güncellenmelidir.
- PCI DSS gibi standartlar da eski protokollerin kapatılmasını bekler.
Geçişten önce trafiğin ne kadarının eski protokolle geldiğini sunucu kayıtlarından ölçmek, sürprizleri önler.