Veraltete TLS-Versionen

Was geprüft

Zusätzlich wird je eine Verbindung aufgebaut, die nur TLS 1.0 beziehungsweise nur TLS 1.1 anbietet. Nimmt der Server eine davon an, ist der Punkt auffällig; lehnt er beide ab, ist er unauffällig. Weil die Probe nur mit gelockerten Einstellungen funktioniert, wird sie vorher gegen einen eigenen Testserver erprobt; scheitert dieser Selbsttest oder die Probe, lautet das Ergebnis „nicht geprüft“.

Wie relevant

Hoch, wenn TLS 1.0 oder 1.1 angeboten wird. Zusätzlich ist die Kategorie Sicherheit dann auf höchstens 79 von 100 begrenzt, wie bei SSL Labs, das in diesem Fall höchstens die Note B vergibt.

Warum

TLS 1.0 und 1.1 sind seit 2021 offiziell abgekündigt (Internet-Standard RFC 8996) und haben bekannte Schwächen. Aktuelle Browser verwenden sie nicht mehr; wer sie anbietet, gewinnt kaum Besucher, hält aber veraltete Verschlüsselung offen.

Wie beheben

Erlauben Sie nur TLS 1.2 und TLS 1.3. Auf Shared Hosting stellt das der Hoster ein; bei Cloudflare legen Sie die Mindestversion in den Edge-Zertifikat-Einstellungen fest. Eine geprüfte Vorlage liefert der Mozilla SSL Configuration Generator.

Nebenwirkung: Sehr alte Geräte und Programme (etwa Android bis 4.3, alte Kassensysteme, Skripte mit veralteten Bibliotheken) können danach keine Verbindung mehr aufbauen. Prüfen Sie vorher, ob solche Abrufer bekannt sind, zum Beispiel über Zugriffsprotokolle mit protokollierter TLS-Version. Nach der Änderung den Webserver neu laden und erneut messen.

Codebeispiel

Apache (Serverkonfiguration, nicht .htaccess)

SSLProtocol -all +TLSv1.2 +TLSv1.3

nginx

ssl_protocols TLSv1.2 TLSv1.3;

Cloudflare (Einstellung)

SSL/TLS → Edge-Zertifikate → Minimale TLS-Version: TLS 1.2

Weiterführende Quellen

• https://www.rfc-editor.org/rfc/rfc8996.html
• https://ssl-config.mozilla.org/
• https://developers.cloudflare.com/ssl/edge-certificates/additional-options/minimum-tls/