Mozilla se prépare pour le TLS 1.1

[vulcain]

Mozilla travaille à l'implémentation de nouvelle norme du TLS: les versions 1.1 et 1.2
https://bugzilla.mozilla.org/show_bug.cgi?id=480514
https://bugzilla.mozilla.org/show_bug.cgi?id=565047
D'après wikipédia:
Chrome supporte la version 1.0 mais ni la 1.1, ni la 1.2
Opera supporte la 1.2
IE utilise celle disponible sur l'OS, IE 8 dans win 7 supporte la 1.2
Safari fait de même, et il semble que la version 5 supporte la 1.0

Un site permet de tester l'implémentation du protocole TLS dans le serveur: https://www.trustworthyinternet.org/ssl-pulse/
Amusant, MS n' a pas encore le TLS 1.1 ou 1.2 sur ses serveurs:
https://www.ssllabs.com/ssltest/analyze ... .54.186.17
https://www.ssllabs.com/ssltest/analyze ... .46.19.190

Les seuls qui en ont, sont ceux de Mozilla:
https://www.ssllabs.com/ssltest/analyze ... 45.217.105
https://www.ssllabs.com/ssltest/analyze ... 245.215.20
https://www.ssllabs.com/ssltest/analyze ... ozilla.org
https://www.ssllabs.com/ssltest/analyze ... source=tim
Par contre le site indique une possibilité d'attaque par DoS
Ce qui change de beaucoup de site qui ont des risques par une attaque par BEAST (cet article signale que beaucoup de serveurs désactive le TLS 1.1 et TLS 1.2)
Mais la plus part ne sont pas des attaques facile à mettre en place.
Seul les serveurs de google n'auraient pas possibilité d'attaque.

Ma banque a une bonne note: 85 comme le site de l'EFF, les impôts c'est pas le cas 52:
https://www.ssllabs.com/ssltest/analyze ... source=tim Ils doivent perdent des points à supporter un protocole obsolète (SSL 2.0) et une clé trop faible, merci IE 6 ... Pareil pour la CAF https://www.ssllabs.com/ssltest/analyze ... .101.92.10
La sécu s'en sort mieux avec 61 : https://www.ssllabs.com/ssltest/analyze ... source=tim

[Bob49]

Salut

Ma banque a une bonne note: 85

La mienne aussi et avec un grand A

Mais je sais pas si c'est pour rassurer ou pas J'ai fais une vérification de quelques sites où j'ai déjà passer commandes...
_entre le serveur où pas de connexion possible pour la vérification (c'est pas forcément mauvais signe !?), celui qui à une note de 76 et quelques lignes en rouge, le meilleur avec des notes à 88....et celui qui à un certificat "non adéquate" !?
....il y à le site qui à 2 serveurs qui ne répondent pas et un serveur avec un beau 0 (zéro) et un grand F en rouge

Mais cela va pas m'empêcher de dormir.

Les seuls qui en ont, sont ceux de Mozilla:

Différents sites listés dans les Recent Best-Rated ont aussi l'un des deux ou les deux : TLS 1.1 et TLS 1.2.

[calimo]

Salut

Ma banque a une bonne note: 85

La mienne aussi et avec un grand A

Ce qui est inquiétant, c'est que mon site perso (avec un certificat ultra-standard, pas d'EV, et pas franchement de boulot derrière pour mettre en place le truc) fait lui aussi un 85. Ce qui veut dire qu'il faut faire un sacré effort pour avoir moins !

Me reste plus qu'à activer TLS 1.1 et 1.2, parce que ...

(cet article signale que beaucoup de serveurs désactive le TLS 1.1 et TLS 1.2)

ce n'est pas tout à fait vrai. En fait, ils ne le "désactivent" pas, c'est simplement que les outils courants ne l'implémentent pas encore ! Apparemment il faut une version récente d'OpenSSL ou GnuTLS...

[vulcain]

Je ne suis absolument pas un expert mais quand je regarde le site des impôts, j'ai l'impression qu'ils ont abaissé certaines exigences (longueur de la clé) pour être accessible au plus grand nombre. vous venez avec FF vous passez par TLS 1.0 et le haut de gamme, vous arrivez avec IE 5.5 ou IE 6.0 on prend ce que vous offrez (IE 6 a TLS 1.0 désactivé par défaut)