TLS 1.0 ve 1.1 Kullanım Sonu

IETF, TLS 1.0 ve 1.1'i RFC 8996 ile resmen kullanımdan kaldırdı ve büyük tarayıcılar bu sürümleri varsayılan olarak devre dışı bıraktı. Hâlâ açık bırakılan sunucular, zayıf cipher'lara ve modern güvenlik beklentilerini karşılamayan protokol tasarımına maruz kalır; ödeme kartı uyumluluğu gibi denetimlerde de sorun çıkarabilir.

Neden bırakıldı?

• SHA-1 ve MD5 tabanlı yapılar ile CBC tasarımındaki zayıflıklar (BEAST, Lucky13 gibi saldırı sınıfları).
• Modern AEAD şifrelerin ve ileri gizliliğin standart bir parçası olmaması.
• Bakım yükü: güvenli kalması için yamalı kütüphane davranışları gerekir.

Kapatmadan önce kullanım ölçümü

Gerçek kullanıcıları kaybetmemek için önce hangi protokollerin kullanıldığına bakın. nginx'te günlük biçimine protokol ekleyebilirsiniz:

log_format tlslog '$remote_addr [$time_local] "$request" $ssl_protocol $ssl_cipher';
access_log /var/log/nginx/tls.log tlslog;

Bir süre sonra günlükte TLSv1 / TLSv1.1 görünen istemcileri sayın.

Kapatma

# nginx
ssl_protocols TLSv1.2 TLSv1.3;

# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3

IIS'te SCHANNEL kayıt defteri altındaki protokol anahtarlarından (TLS 1.0 / 1.1, Server) Enabled değerini 0 yaparak kapatılır; değişiklik sonrası yeniden başlatma gerekebilir.

Eski cihazlar

• Yazıcı, kasa, eski endüstriyel cihazlar yalnızca TLS 1.0 konuşabilir; bunları doğrudan internete açmak yerine TLS 1.2 destekleyen bir ters vekil arkasına alın.
• Test için openssl s_client -connect ornek.com:443 -tls1 komutu başarısız olmalıdır (kütüphane bu bayrağı desteklemiyorsa farklı bir araç kullanın).

Ek notlar

• Kapatma sonrası destek taleplerinin artmasını beklemeyin; ama ilk günlerde günlükleri izleyin.
• Posta ve API uç noktaları web sitesinden farklı protokol ayarlarına sahip olabilir; hepsini ayrı kontrol edin.
• Kapatma işlemi geri alınabilir olmalı; yapılandırmanın yedeğini alın.

Tek seferde değil, aşamalı ilerlemek (önce ölçüm, sonra test ortamı, sonra üretim) riski azaltır.

Sonuçları SSL denetleme aracıyla teyit edin; uygun sertifika seçimi için SSL seçim rehberine bakabilirsiniz. Özet: önce ölç, sonra kapat; sertifikanızın kendisi bu geçişten etkilenmez.