Verifica delle versioni del protocollo TLS
Basta inserire un nome di dominio per verificare quali versioni del protocollo TLS, dalla 1.0 alla 1.3, siano accettate dal server. Permette di controllare gratuitamente se siano rimaste attive versioni ormai sconsigliate.
Consigli per l'uso
- Lo standard di sicurezza del settore delle carte di pagamento impone dal 2018 la disattivazione di TLS 1.0 e 1.1, considerati protocolli non sufficientemente sicuri: i siti che gestiscono pagamenti devono verificarlo con particolare attenzione.
- A differenza del nostro strumento che controlla scadenza ed emittente del certificato, questo verifica la configurazione stessa, cioè con quali versioni del protocollo il server accetta le connessioni: usarli insieme dà maggiore tranquillità.
- Lasciare attive TLS 1.0 e 1.1 non blocca subito gli accessi ordinari, ma i principali browser stanno passando a rifiutarle per impostazione predefinita: conviene disattivarle per tempo, come rischio di compatibilità futura.
- Se invece risultano disattivate sia TLS 1.2 sia TLS 1.3, è molto probabile un errore di configurazione: poiché i browser recenti non riuscirebbero a collegarsi, va affrontato con la massima priorità.
- Se il sito è ospitato su un server condiviso o dietro una rete di distribuzione dei contenuti, la configurazione delle versioni TLS spetta all'amministratore del server o al fornitore: in caso di problemi rivolgetevi alla loro assistenza.
Domande frequenti
A proposito — evoluzione delle versioni TLS e storia delle vulnerabilità
Il protocollo SSL, antenato del TLS, fu sviluppato da Netscape a metà degli anni Novanta, ma le versioni 2.0 e 3.0 presentavano entrambe difetti di progettazione. La versione TLS 1.0, standardizzata nel 1999 come successore, in alcune implementazioni gestiva in modo carente il vettore di inizializzazione della cifratura a blocchi concatenati, debolezza dimostrata nel 2011 dall'attacco noto come BEAST.
Nel 2014 fu poi presentato l'attacco POODLE, che sfruttava un difetto di progettazione di SSL 3.0, e da quel momento crebbe rapidamente la diffidenza non solo verso quel protocollo ma anche verso TLS 1.0 e 1.1, di impostazione simile. Lo standard di sicurezza del settore delle carte di pagamento annunciò nel 2015 il divieto progressivo di TLS 1.0 e fissò alla fine di giugno 2018 il termine ultimo per la migrazione completa.
TLS 1.3, standardizzata nel 2018, tiene conto di quelle vulnerabilità: esclude dalle specifiche gli algoritmi più esposti, come le cifrature a flusso obsolete e quelle a blocchi concatenati, e riduce il numero di scambi necessari alla negoziazione. Oggi la maggior parte dei browser e dei programmi server la attiva per impostazione predefinita e ha già interrotto il supporto di TLS 1.0 e 1.1.
Nel mondo restano però server costretti a dipendere da sistemi datati, e non è raro che TLS 1.0 e 1.1 siano rimaste attive per dimenticanza. Rendere facilmente visibile una configurazione di cui è difficile accorgersi da soli è proprio il valore di uno strumento di verifica come questo.