TLS Details

TLS Details — проверка версий TLS и шифров онлайн

Сервис 101IP параллельно подключается к серверу с принудительным указанием каждой версии TLS и определяет, какие протоколы поддерживаются и какие шифры при этом используются.

Что проверяется

• TLS 1.3 — современный стандарт: более быстрое рукопожатие, только стойкие шифры, прямая секретность по умолчанию;
• TLS 1.2 — широко поддерживается, безопасен при правильной конфигурации шифров;
• TLS 1.1 — устаревший протокол, отозван RFC 8996, рекомендуется отключить;
• TLS 1.0 — небезопасен (уязвимости POODLE, BEAST), должен быть отключён.

Прямая секретность (PFS)

Шифры с меткой PFS используют ключевой обмен ECDHE или DHE, что обеспечивает прямую секретность: компрометация закрытого ключа сервера не позволит расшифровать прошлые сессии.

Шкала оценок

• A+ / A — только современные версии, нет TLS 1.0/1.1;
• B / C — TLS 1.2 есть, но могут быть устаревшие версии или слабые шифры;
• D / F — поддерживается TLS 1.0, слабые шифры или нет TLS 1.2+.

Примечание

Результаты тестов TLS 1.0/1.1 зависят в том числе от настроек OpenSSL на стороне сервера проверки. Если TLS 1.0 показан как «недоступен», это может означать как отключение на целевом сервере, так и ограничения локального OpenSSL.

Смотрите также: SSL-сертификат, HSTS Check, Security Headers.

Часто задаваемые вопросы

• Почему TLS 1.0 и TLS 1.1 считаются устаревшими?

  TLS 1.0 и 1.1 содержат уязвимости: BEAST, POODLE и другие атаки на блочные шифры CBC. Они официально признаны устаревшими (RFC 8996) и отключены в большинстве браузеров с 2020 года. Поддержка этих версий снижает оценку безопасности сервера.

• Что такое Perfect Forward Secrecy (прямая секретность)?

  Perfect Forward Secrecy (PFS) — свойство протокола, при котором компрометация долгосрочного ключа не позволяет расшифровать прошлые сессии. Достигается использованием эфемерных ключей DHE или ECDHE. Шифры с PFS (например, ECDHE-RSA-AES256-GCM-SHA384) помечаются как PFS в результатах проверки.

• Как интерпретировать оценки A–F для TLS?

  A — поддерживается только TLS 1.2/1.3, все шифры с PFS. B — есть незначительные проблемы с шифрами. C — поддерживается TLS 1.1. D — поддерживается TLS 1.0. F — критические уязвимости или используются слабые шифры (RC4, DES, EXPORT).