Web-Verschlüsselung: Microsoft & Co. erzwingen bald TLS-Upgrades

Die großen Browser-Hersteller werden der Internet Engineering Task Force (IETF) beim Abschied älterer TLS-Standards wohl zuvorkommen. Während die IETF gerade noch darüber diskutiert, die Version 1.0 und 1.1 als "deprecated" (überholt) zu kennzeichnen, haben die Browser-Anbieter bereits deren Löschung angekündigt. So wird Microsoft die Transport Layer Security (TLS) 1.0 und 1.1 in der ersten Hälfte des Jahres 2020 aus seinen Produkten Edge und Internet Explorer entfernen. Die Technologie, die häufig noch immer als Secure Sockets Layer (SSL) bezeichnet wird, soll dann erst einmal nur noch in der aktuellen Fassung 1.2 zur Verfügung stehen.

Zwar gebe es auch bei den älteren Fassungen derzeit keine bekannten Sicherheitslücken, doch wolle man sicherstellen, dass eine einheitliche Krypto-Basis über das ganze Web hinweg einen hinreichenden Schutz für die Nutzer gewährleistet, erklärte Microsoft Programm-Manager Kyle Pflug. Denn es steht inzwischen auch schon TLS 1.3 in den Startlöchern und eine zu starke Fragmentierung sorgt letztlich auch dafür, dass es immer mal zu Problemen kommen kann, denen die Browser-Hersteller nicht genügend Konzentration entgegenbringen können. Durch den auslaufenden Support müssen sich demnächst also auch die letzten Seitenbetreiber um Aktualisierungen ihrer Server bemühen.

TLS 1.3 kommt herbei

Pflug geht auch davon aus, dass bis zur endgültigen Abschaltung im Grunde alle Verbindungen auf neuere Fassungen des Standards umgestellt sein werden. Aktuell würden ohnehin schon nur noch weniger als ein Prozent der Webseiten-Abrufe über TLS 1.0 oder 1.1 abgewickelt. Entsprechend haben auch schon die anderen großen Browser-Hersteller - Google, Mozilla und Apple - angekündigt, die älteren Versionen auslaufen zu lassen.

Chrome und Firefox bieten auch schon Support für das neue TLS 1.3. Apple und Microsoft arbeiten hingegen noch daran, den Standard in ihre Browser einzubauen. Die Spezifikationen liegen seit August dieses Jahres in ihrer endgültigen Fassung (RFC 8446) vor. Die jüngste Version soll schnellere Verbindungen bringen und auch die Sicherheit weiter steigern.