Selv om mange først ganske nylig har oppdaget at SSL (Secure Sockets Layer) ikke bør brukes lenger, og at man i stedet skal bruke TLS (Transport Layer Security) når man skal krypterte forbindelser over internett, så er heller dagens versjoner av TLS verken nye eller uten svakheter.
Den første versjonen av TLS kom i 1999, og versjon 1.2, som nå anbefales, ble standardisert i 2008. Men også TLS 1.2 har støtte for gammel teknologi som kan gjøre forbindelsene usikre dersom oppsettet ikke er riktig konfigurert. De siste årene har en rekke typer angrep, inkludert BEAST, FREAK og LogJam, blitt oppdaget. De fleste skyldes TLS-støtten for gamle og usikre krypteringsteknologier.
Leste du denne? – Bare et tidsspørsmål før Google og Mozilla vil kreve sikre websider
TLS 1.3
En ny versjon av TLS, versjon 1.3, er på trappene. Selv om den ikke er helt ferdig ennå, er det flere nettsteder som støtter den. Den til nå kanskje største aktøren som har kunngjort støtte for TLS 1.3, er CDN-tjeneste (Content Delivery Network) Cloudflare, som distribuerer innhold til over to millioner nettsteder. Kundene kan nå teste TLS 1.3 som en betatjeneste.
Foreløpig vil er det ikke mange som har nettlesere eller andre klienter som støtter TLS 1.3, kanskje av den enkle grunn at teknologien ikke er fullført ennå. Men det er ventet å kunne skje innen utgangen av året. Det at Cloudflare støtter teknologien allerede nå, handler nok mest om å være forberedt når etterspørselen kommer. Og det vil den nok.
Enklere og raskere
TLS 1.3 har to store fordeler sammenlignet med dagens versjon. Den ene handler om at tiden det tar å opprette for HTTPS-forbindelser kan halveres, siden prosessen som kalles for handshaking er langt mer effektiv med den kommende standarden.
Dette er spesielt viktig når server og klient er geografisk langt unna hverandre. Ifølge Cloudflare kan det ta mer enn 200 millisekunder så å få svar på en melding, når den sendes fra Sydney til New York. En uoffisiell tommelfingerregel er at websider bør være ferdig lastet innen 250 millisekunder, eller i det minste ha gitt en visuell tilbakemelding innen da. For enkelte brukere kan 5 millisekunders økt forsinkelse være avgjørende, mens mange vil forlate sider dersom lastingen tar mer enn et halvt sekund.
Den andre fordelen handler om forbedret sikkerhet, noe som oppnås blant annet ved å fjerne støtten for gamle teknologier, inkludert RSA-basert nøkkeltransport, ulike chiffer-samlinger, samt hashfunksjonen SHA-1. Cloudflare nevner flere i dette blogginnlegget.
Les mer: Millioner av tjenester bruker utdatert kryptering
Men det vil ta tid
Med TLS 1.3 behøver ikke serveradministratorer i utgangspunktet å tenke på at dette må deaktiveres, men dessverre er det ikke like enkelt i virkeligheten. Selv servere som støtter TLS 1.3 må inntil videre også støtte eldre TLS-utgaver, siden det kan ta lang tid før alle har gått over til klienter som støtter TLS 1.3.
Blant nettleserleverandørene er det kjent at både Google og Mozilla har gjort TLS 1.3-støtte tilgjengelig i eksperimentelle utgaver av henholdsvis Chrome og Firefox. Microsoft har implementert de delene av TLS 1.3 som handler om ytelse i testutgaver av Edge.
Les mer her: Microsoft skal «tjuvstarte» websikkerheten i Edge
