3月起，瀏覽器“神奇四俠”正式停止對TLS 1.1和TLS 1.0的支援

TrustAsia亞洲誠信發表於2020-03-09

Web瀏覽器，相信對於每天上網的你來說都並不陌生，你知道目前全球最主流的瀏覽器廠商是哪四個嗎？

答案是：① 谷歌（Chrome） ② 微軟（IE和Edge） ③ 蘋果（Safari） ④ Mozilla（Firefox）

在安全和隱私方面，這四大Web 瀏覽器廠商在今年初正式實行一個Real默契的決定，那就是從2020年3月起，停止支援TLS 1.1及TLS 1.0版本安全協議。

屆時谷歌（Chrome）、Mozilla（Firefox）、微軟（IE和Edge）、蘋果（Safari）都會發布新版瀏覽器執行這個策略。

時間追溯到2018年，四大Web 瀏覽器巨頭（蘋果、谷歌、Mozilla、微軟）發表了一項史無前例的聯合宣告，宣佈在2020年初禁用TLS 1.0和TLS 1.1支援的決定。這意味著TLS 1.2實際上將成為預設的主流設定，各大瀏覽器也會鼓勵網站和公司儘快增加對TLS 1.3的支援。

也許你會有一連串黑人問號，TLS是什麼？TLS在瀏覽器傳輸中起到什麼安全作用？TLS與SSL有什麼區別？為什麼TLS 1.1及TLS 1.0協議要被禁止呢？

首先我們要從TLS開始說起……

瀏覽新聞、收發郵件、線上學習、電子商務……網際網路，正是因為有加密技術，SSL（安全套接層協議）與TLS (傳輸層安全)，尤其是TLS，正是有了這一關鍵技術提供線上私密通訊方法，有效的防止網站的資料丟失與資料洩密，網際網路才呈現出今天這種如我們所知的繁榮景象。

TLS vs SSL：資料傳輸的安全保鏢

當今的網際網路由 7個層面組成的：物理層、資料鏈路層、網路層、傳輸層、會話層、表示層、應用層。應用層是最抽象的一層，是最接近終端使用者的一層。SSL/TLS是被設計用來在一個計算機網路中提供通訊安全的加密協議，介於傳輸層和應用層之間。它通過"握手協議"和"傳輸協議"來解決傳輸安全的問題。這個過程可以確保終端使用者使用網路服務時，通訊的安全性和保密性。目前，全球超過70%的網際網路流量通過SSL/TLS進行保護。

SSL（Secure Sockets Layer安全套接層協議）是位於TCP/IP協議與各種應用層協議之間，為資料通訊提供安全支援的協議，它主要通過加密的方式保證傳輸資料的安全。

而TLS（Transport Layer Security 傳輸層安全）青出於藍，更好地繼承了SSL的優點，是SSL協議被IETF（網際網路工程任務組）標準化後的協議。因此，當我們談及TLS和SSL時，一個非常重要的概念就是SSL是舊版的協議，TLS是SSL的繼承者，是更為安全的升級版SSL，是當代加密的標準協議。

TLS保護Web應用程式和Web瀏覽器之間通訊的標準，通常位於可靠傳輸層上的客戶端和應用程式之間。TLS使HTTP協議棧增加了安全性，為傳輸的資料加密，變成了目前大規模使用的HTTPS，所有使用 HTTPS 傳送的資料都可通過傳輸層安全協議 (TLS) 得到保護。

TLS的發展歷程

● 1994年，NetScape公司設計了SSL協議（Secure Sockets Layer）的1.0版，但是未釋出。

● 1995年，NetScape公司釋出SSL 2.0版，很快發現有嚴重漏洞。

● 1996年，SSL 3.0版問世，得到大規模應用。

● 1999年，SSL的升級版TLS 1.0版，TLS 1.0協議誕生

● 2006 年，TLS 1.1 協議正式面世

● 2008 年，TLS 1.2協議正式釋出

● 2019年，IETF（網際網路工程任務組）在8月正式釋出了TLS 1.3，代表了整體安全上的大飛躍

● 2019年，支付卡產業資料安全標準（PCI DSS）強制取消了支付卡行業對TLS 1.0的支援，同時強烈建議取消對TLS 1.1的支援。

● 2020年，谷歌 Chrome、微軟 IE、蘋果Safari、火狐Firefox停止支援TLS 1.1及TLS 1.0版本安全協議， TLS 1.2成為預設的設定。

TLS 1.0和TLS 1.1協議為何逐漸被摒棄？

最主要的原因：極不安全。TLS協議目前有4個版本——TLS1.0、1.1、1.2和1.3(最新版本)。TLS 1.0和TLS 1.1這兩個舊版本協議使用的是過時的演算法和加密系統，比如SHA-1和MD5，這些演算法和系統十分脆弱，存在重大安全漏洞，容易受到降級攻擊的嚴重影響，例如POODLE和BEAST。

蘋果、谷歌和微軟都表示，這一決定產生的影響可能是微乎其微的，因為Safari、Chrome、Edge和Internet Explorer瀏覽器的連線只有很少一部分仍然在使用TLS 1.0或TLS 1.1。到目前為止，由於大多數網站都支援TLS 1.2或TLS 1.3版本協議，所以除了部分長久沒有更新架構的行業伺服器外，一般網際網路使用者的瀏覽不會遇到太大問題。