TLS 1.2 deviendra obligatoire à partir de Mars 2020
Déjà dépréciés pour certains usages comme les transactions bancaires, les protocoles TLS 1.0 et 1.1 sont désormais en phase de dépréciation par les différents navigateurs, Mozilla Firefox ayant déjà commencé à afficher un avertissement sur le cadenas dans sa version 68.
C'est aux alentours de mars 2020 qu'il sera obligatoire que les serveurs web servent leur contenu en utilisant a minima TLS 1.2 afin de rester compatibles avec les principaux navigateurs.
- Mozilla Firefox annonce mars 2020.
- Chrome annonce l'accès en janvier 2020 via le canal de sortie anticipé (early release channel). Il faudra compter plusieurs semaines/mois avant la sortie pour le grand public.
- Webkit/Safari annonce également mars 2020.
- Microsoft annonce pour sa part le premier semestre 2020 pour Edge.
Nous recommandons bien entendu de prioriser la version suivante TLS 1.3 quand cela est possible. Il faut néanmoins considérer que peu de plateformes supportent cette version. C'est le cas de certaines bibliothèques cryptographiques dans leur dernières versions telles que Openssl à partir de 1.1.1
Compatiblité des serveurs
Nous avons vérifié la compatibilité avec TLS 1.2 avec les différentes plateformes serveur.
Microsoft
Windows Server supporte le TLS 1.2 à partir de la version 2008 R2 (IIS 7.5) mais il faut néanmoins l'activer manuellement.
Ce n'est qu'à partir de la version 2012 (IIS8) que le TLS 1.2 est disponible par défaut.
Openssl (Apache, Nginx, etc)
Pour les logiciels basés sur openssl (Apache, Nginx, Postfix, etc), il faut disposer au minimum de la version 1.0.1a. Les branches suivantes (1.0.2 et 1.1.X) disposent du support par défaut. Les versions 1.1.1 et suivantes supportent également TLS 1.3.
Déploiement d'Openssl par distribution :
| Distribution | Version | Version d'OpenSSL |
|---|---|---|
| Debian | 7 (Wheezy) | 1.0.1e |
| Centos | 6 | 1.0.1e |
| Ubuntu | 14.04 | 1.0.1f |
Java (Tomcat, JBoss, etc)
Pour les logiciels basés sur Java, il faut disposer au moins de Java 7, version 1.7.0_131-b31. Java 8 et suivantes intègrent par défaut TLS 1.2.
Liens utiles
- Dépréciation de TLS 1.0 et 1.1 sous Firefox
- Dépréciation de TLS 1.0 et 1.1 sous Chrome
- Dépréciation de TLS 1.0 et 1.1 sous Webkit/Safari
- Dépréciation de TLS 1.0 et 1.1 sous Edge
- Liste de modifications d'Openssl branche 1.0.1
- Archive Debian
- Dépot Centos 6
- Dépot des anciennes releases Ubuntu
- Notes de release Java 7 mise à jour 131
Votre serveur est-il concerné ?
Pour le savoir, utilisez notre outil Co-Pibot. Il vous indiquera si votre serveur est impacté et comment résoudre la situation.