Microsoft, kullanıcılara güvenli olmayan Aktarım Katmanı Güvenliği (TLS) 1.0 ve 1.1 protokollerinin gelecekteki Windows sürümlerinde yakında devre dışı bırakılacağını hatırlattı.
TLS güvenli iletişim protokolü, istemci/sunucu uygulamaları aracılığıyla İnternet üzerinden bilgi alışverişi yaparken ve bu bilgilere erişirken kullanıcıları gizlice dinlemeye, kurcalamaya ve mesaj sahteciliğine karşı korumak için tasarlanmıştır.
Orijinal TLS 1.0 spesifikasyonu ve onun TLS 1.1 halefi, yaklaşık yirmi yıldır kullanılmaktadır; TLS 1.0 ilk olarak 1999’da ve TLS 1.1 2006’da tanıtılmıştır).
Kapsamlı tartışmaların ve 28 protokol taslağının geliştirilmesinin ardından İnternet Mühendisliği Görev Gücü (IETF), Mart 2018’de TLS protokolünün bir sonraki ana sürümü olan TLS 1.3’ü onayladı.
Microsoft Cuma günü müşterilerine, “Bu değişiklik yalnızca hem istemci hem de sunucu sürümleri olmak üzere gelecekteki yeni Windows işletim sistemleri için geçerlidir. Halihazırda yayınlanmış olan Windows sürümleri bu değişiklikten etkilenmeyecektir.” dedi.
“Eylül 2023’ten itibaren Windows 11 Insider Preview derlemelerinde TLS 1.0 ve 1.1 sürümleri varsayılan olarak devre dışı bırakılacaktır. Uyumluluğu sürdürmesi gereken kullanıcılar için TLS 1.0 veya TLS 1.1’i yeniden etkinleştirme seçeneği vardır.”
Geçişin Windows ev kullanıcıları üzerinde minimum düzeyde etki yaratması ve beklenen sorunların sınırlı olması bekleniyor. Ancak kurumsal yöneticilerin, etkilenen uygulamaları belirlemek ve ardından güncellemek veya değiştirmek için testler yapması önerilir.
Güncel olmayan TLS sürümleri devre dışı bırakıldıktan sonra sorunlarla karşılaşan veya başarısız olan uygulamalar, Windows Olay Günlüğünde Olay 36871 kullanılarak etiketlenecektir.
Windows Kayıt Defteri aracılığıyla güvenli olmayan TLS’yi yeniden etkinleştirme seçeneği hâlâ mevcut olsa da, bu yalnızca uyumsuz uygulamalar güncellenene veya değiştirilene kadar son çare olarak yapılmalıdır.
Microsoft’un, bu TLS sürümlerine yönelik desteğin tamamen kaldırılabileceği konusunda uyardığını da unutmamak gerekir.
Güncelliğini yitirmiş trafik şifreleme protokollerinden uzaklaşmak
Bu, Ekim 2018’de Microsoft, Google, Apple ve Mozilla’nın, güvenli olmayan TLS protokollerini aşamalı olarak kaldırmaya başlamayı planladıklarını ve sürecin 2020’nin ilk yarısında başlamasını planladıklarını duyurdukları ortak açıklamanın ardından geldi.
Ağustos 2020 itibarıyla Microsoft, Windows 10 Insider sürümlerinde varsayılan olarak TLS 1.3’e geçiş yapmıştı.
NSA ayrıca Ocak 2021’de eski TLS protokol versiyonlarının ve yapılandırmalarının belirlenmesi ve modern ve güvenli alternatiflerle değiştirilmesi konusunda rehberlik sağladı.
NSA, “Eski konfigürasyonlar, pasif şifre çözme ve ortadaki adam saldırıları yoluyla trafiğin değiştirilmesi gibi çeşitli teknikleri kullanarak düşmanlara hassas operasyonel trafiğe erişim sağlıyor” dedi.
“Saldırganlar, çok az beceriyle hassas verilere erişim sağlamak için güncel olmayan aktarım katmanı güvenliği (TLS) protokol yapılandırmalarından yararlanabilir.”