Firefox 74 beendet ab 10. März Support für TLS 1.0 und TLS 1.1

Firefox wird ab Version 74 die Verschlüsselungsprotokolle TLS 1.0 und TLS 1.1 nicht weiter unterstützen. Entsprechend werden Websites, die nicht mindestens TLS 1.2 unterstützen, dann den Fehler "Sichere Ver­bin­dung fehlgeschlagen" anzeigen. mehr... Browser, Logo, Firefox, Mozilla, Mozilla Firefox, Mozilla Foundation Bildquelle: Mozilla Browser, Logo, Firefox, Mozilla, Mozilla Firefox, Mozilla Foundation Browser, Logo, Firefox, Mozilla, Mozilla Firefox, Mozilla Foundation Mozilla

Diese Nachricht vollständig anzeigen.

Jetzt einen Kommentar schreiben
 
Tja dann wirds Zeit, dass die Seiten umstellen. Finde es gut, dass Firefox und Chrome einfach auf diese Seiten scheißen und sie letztendlich gemeinsam zu zwingen auf sichere Standards zu setzen
 
@Blue7: tls als nur umbenanntes ssl3 ist schon seit vielen jahren obsolet...
 
@Blue7: wenn man mal die Quelle von ghack ließt findet man die Statistik, dass selbst 2018 nur 0,5% der Verbindungen TLS1.0 oder 1.1 waren. Wenn ich raten dürfte, sind die meisten dieser Seiten abandoned. Selbst die im Artikel genannten 8000 Seiten sind vermutlich veraltete Seiten, die immer noch irgendein tool oder alte infos haben, die regelmäßig Besucher kommen lassen aber im Grunde verlassen sind.

Keine default Webserver Config der letzten 8 Jahre hat in ihrer HTTPS config TLS 1.2 deaktiviert. Viele unterstützen vermutlich noch alte Versionen aber bieten 1.2 oder höher auf jeden Fall an.

Ich glaube nicht, dass es hier viel Handlungsbedarf geben wird.
 
Finde es im Bezug auf Internetbrowser insofern schwerig alte Sachen zu deprecaten, als dass auch Internetseiten, die mehr oder weniger abandoned sind, eine (wenngleich unzuverlässige) Archivfunktion haben, Bei SSL im speziellen macht es aber nicht, da eh jemand da sein muss, der die Zertifikate erneuert, derjenige kann sich dann auch darum kümmern, die richtigen Protokolle zu unterstützen.
 
und irgendwann werden dann auch mit sha1 signierte zertifikate ungültig werden...
 
@Rulf: Chrome, Edge, IE und Firefox unterstützen schon seit 2017 keine SHA1 Zertifikate mehr. Als letzten Rest hat Chrome Anfang 2019 das Flag disabled, womit man private Enterprise SHA1 CAs noch trusten konnte. Keine Public CA der Welt stellt SHA1 Zertifikate aus. Das letzte ist vermutlich mind. 5 Jahre her und damit eh ungültig. Kein mainstream Browser der Welt hat eine SHA1 CA in ihrem Trust.
SHA1 ist tot, wo sollen diese Zertifikate den bitte noch gültig sein außer vielleicht tief in irgendeiner firmeninternen privaten PKI Umgebung mit Tools von 2011?
 
@xxMSIxx: anscheinend hat winfuture den wink verstanden...
 
Für diejenigen übrigens, die sich mit Webdevelopment nicht befassen und sich interessieren, welche Implikationen das für den Seitenbetreiber hat:

Die unterstützten Protokolle sind eine Konfigurationseigenschaft des Webservers, nicht der Webseite selbst (also nichts, was den PHP-Code oder HTML-Code betrifft).
Wer reinen Webspace mietet, der ist nicht betroffen, weil er das gar nicht selber einstellt. Der Hoster muss sich darum kümmern und hat es vermutlich schon vor 2 Jahren getan.
Wer einen Server/vServer/Docker-Container etc. mietet, der musste seinen Webserver selber einrichten. Er muss in einer Konfigurationsdatei den Parameter setzen, dass TLS 1.2 und/oder TLS 1.3 unterstützt werden (das ist z.B. bei nginx eine Zeile, die z.B. so lautet:
ssl_protocols TLSv1.3;
und natürlich muss die Software auf seinem Server auf dem entsprechenden Stand sein. Nginx und OpenSSL z.B. müssten wenigstens auf der Version von 2012 sein, um wenigstens TLS 1.2 zu unterstützen. Das sollte sie aber ohnehin sein, denn wer auf einem Stand von vor 2014 ist, ist auch noch von Heartbleed betroffen.

Das ist also auch für die kleineren Seitenbetreiber kein großer Akt und die größeren haben eh die nötigen Resourcen und die allerkleinsten müssen sich gar nicht drum kümmern, weil sie ihren Webserver nicht selbst konfigurieren.

Als Besucher kann man übrigens leicht nachschauen, ob die Seite, die man besucht, von der Abschaltung betroffen ist. Unter Firefox geht man z.B. in die Entwicklerkonsole (Rechtsklick, Element Untersuchen), öffnet den Tab "Netzwerk", klickt auf eine der Anfragen und dann im sich rechts öffenden Bereich auf "Sicherheit". Dort sieht man unter anderem die Protokollversion und stellt fest, dass sowohl winfuture.de (TLS 1.2), als auch j.wfcdn.de (TLS 1.3) schon ausreichend up-to-date sind um von dieser Abschaltung nicht betroffen zu sein.
 
@dpazra: dazu muss man allerdings sagen, dass selbst die default config bei nginx "ssl_protocols TLSv1 TLSv1.1 TLSv1.2;" lautet und damit TLS1.2 tauglich ist.

Selbst Leute, die wenig Ahnung von ihrem eigenen Webserver haben und praktisch nur default configs aus dem wiki 1:1 kopieren, sollten also nicht betroffen sein. Grade mit der letztjährigen Änderung der Browser, alles, was nicht HTTPS ist, als unsecure zu markieren und Googles Maßnahme, diese Seiten im Ranking ins nichts zu katapultieren, hat vermutlich jeder seine Config zumindest auf diesen Stand gebracht.

Der verbleibende Traffic von TLS1.0 oder TLS1.1 sind meiner Meinung nach sehr alte Clients, die garnicht mehr in Netz sein sollten und damalige early adopter HTTPS Websites, die seit Jahren verlassen sind und nicht mehr gepflegt werden.
 
lol...ich hab schon n schreck bekommen und dachte "Firefox beendet Windows 7 support".... aber hab die Befrüchtung dass dies auch nicht mehr allzu lange dauert...
 
@legalxpuser: Warum auch nicht. Windows 7 ist EOL, die Nutzung von obsoleter, unsicherer Software sollte man nicht befördern. Entweder man sucht sich eine freie Alternative oder bleibt proprietär und akzeptiert weiterhin "friss oder stirbt", wobei "friss" in diesem Fall Windows 10 oder MacOS bedeutet. Aber ungepatchte Software zu benutzen ist keine Option, die man verantworten kann.
 
@dpazra: Zumindest im Corporate bereich gibt es noch bis zu 3 Jahre extended Support und so lange der läuft wird keine weit verbreitete Software, wie z.B. die großen Browser, den Support für W7 beenden. Es gibt halt doch genug Unternehmen, die den Umstieg nicht rechtzeitig geschafft haben, deren Marktanteil man verlieren würde.
 
Eher nicht bei uns in der Firma gibt es noch Sicherheitsupdates für Windows 7 bis 2023,
so lange werden Firefox usw auch dann noch Supporte ,einfach mal laufen lassen :)
 
@Mitglied1: Der Typ in der Firma, der dafür verantwortlich ist, dass ihr so lange Microsoft viel Geld für die Patches in den Rachen werfen müsst, gehört wegen Unfähigkeit fristlos gefeuert.
 
@rallef: Software ist "noch" nicht mit Windows 10 Kompatibel. Und die Kosten sind Jährlich absetzbar,und nein, es sind keine horrenden Beträge. Hat weniger was mit einem Typ zu tun.
Kommentar abgeben Netiquette beachten!
Einloggen

Jetzt als Amazon Blitzangebot

Ab 11:19 Uhr Annke Wireless HDMI Extender Set (Empfänger und Sender) für HDMI mit Full-HD 1080p, 328Ft/100m,3D Kabellos, unkomprimiert, Reichweite max. 30mAnnke Wireless HDMI Extender Set (Empfänger und Sender) für HDMI mit Full-HD 1080p, 328Ft/100m,3D Kabellos, unkomprimiert, Reichweite max. 30m
Original Amazon-Preis
157,99
Im Preisvergleich ab
157,99
Blitzangebot-Preis
134,29
Ersparnis zu Amazon 15% oder 23,70