O TLS 1.3 foi aprimorado em relação às versões anteriores do protocolo TLS (SSL) de várias maneiras importantes.
Após ler este artigo, você será capaz de:
Conteúdo relacionado
Assine o theNET, uma recapitulação mensal feita pela Cloudflare dos insights mais populares da internet.
Copiar o link do artigo
O TLS 1.3 é a versão mais recente do protocolo TLS. O TLS, que é usado por HTTPS e outros protocolos de rede para criptografia, é a versão moderna do SSL. O TLS 1.3 abandonou a compatibilidade com recursos criptográficos mais antigos e menos seguros e acelerou os handshakes TLS, entre outras melhorias.
Para contextualizar, a Internet Engineering Task Force (IETF) publicou o TLS 1.3 em agosto de 2018. A versão que ele substituiu, o TLS 1.2, foi padronizado uma década antes, em 2008.
Em poucas palavras, o TLS 1.3 é mais rápido e seguro que o TLS 1.2. Uma das mudanças que torna o TLS 1.3 mais rápido é uma atualização na maneira como um handshake TLS funciona: os handshakes TLS no TLS 1.3 exigem apenas uma viagem de ida e volta (ou comunicação de ida e volta) em vez de duas, encurtando o processo em alguns milissegundos . E nos casos em que o cliente se conectou a um site antes, o handshake TLS não terá nenhuma viagem de ida e volta. Isso torna as conexões HTTPS mais rápidas, reduzindo a latência e melhorando a experiência geral do usuário.
Muitas das principais vulnerabilidades no TLS 1.2 tinham a ver com algoritmos criptográficos mais antigos que ainda com os quais havia compatibilidade. O TLS 1.3 eliminou a compatibilidade com esses algoritmos criptográficos vulneráveis e, como resultado, é menos vulnerável a ataques cibernéticos.
As atualizações são uma parte natural do desenvolvimento de software. Os sistemas de computador são tão complexos que é inevitável que eles precisem de reparos ou melhorias para ficarem mais eficientes ou mais seguros. Qualquer software terá vulnerabilidades – falhas que um invasor pode explorar.
No caso do TLS, partes do protocolo mantidas desde seus primeiros dias na década de 1990 resultaram em várias vulnerabilidades que atraem muita atenção e persistiram no TLS 1.2. Além disso, aqueles que trabalham no desenvolvimento do protocolo estão continuamente identificando ineficiências que podem ser eliminadas.
A IETF é responsável pelo desenvolvimento do TLS, codificando feedback e ideias por meio de um documento conhecido como "Request For Comments", ou RFC. A maioria dos protocolos na internet são definidos por meio de RFCs. Todos os RFCs são numerados; O TLS 1.3 é definido como RFC 84462.
Depois que uma nova versão de um protocolo é lançada, cabe aos navegadores e sistemas operacionais criar compatibilidade com esses protocolos. Todos os sistemas operacionais e navegadores desejam melhor performance e segurança, assim, eles tem incentivo para fazê-lo. No entanto, ainda pode levar algum tempo para que a compatibilidade com protocolos atualizados seja generalizada, especialmente porque empresas e consumidores privados podem demorar a adotar as versões mais recentes de navegadores, aplicativos e sistemas operacionais.
Uma vulnerabilidade de software é uma falha no projeto de um programa de computador da qual um invasor pode se aproveitar para realizar atividades maliciosas ou obter acesso ilícito. Essencialmente, as vulnerabilidades são inevitáveis em sistemas de computador, assim como é praticamente impossível construir um banco que seja inexpugnável para assaltantes de banco altamente determinados.
A comunidade de segurança documenta e cataloga vulnerabilidades à medida que são descobertas e descritas. As vulnerabilidades conhecidas recebem um número, como CVE-2016-0701. (O primeiro número é o ano em que foi descoberta).
Vários recursos de criptografia desatualizados resultaram em vulnerabilidades ou permitiram tipos específicos de ataques cibernéticos. Aqui está uma lista incompleta de pontos fracos da criptografia TLS 1.2 e as vulnerabilidades ou ataques associados a eles.
Muitos recursos do TLS 1.2 foram removidos além dos listados acima. A ideia é tornar impossível para alguém habilitar os aspectos vulneráveis do TLS 1.2. Isso é um pouco como quando o governo tornou ilegal a fabricação de carros novos sem cinto de segurança: o objetivo dos regulamentos era que os carros sem cinto de segurança fossem eliminados para que todos estivessem mais seguros. Por um tempo, os motoristas ainda podiam optar por usar modelos de carros mais antigos e ficarem menos seguros, mas ao final esses carros mais perigosos desapareceram das estradas.
A Cloudflare prioriza a compatibilidade com todas as versões mais recentes e seguras de protocolos de rede. A Cloudflare imediatamente ofereceu compatibilidade com TLS 1.3; na verdade, a Cloudflare já era compatível com o TLS 1.3 em 2016, antes que a IETF terminasse de ajustá-lo.
Para obter mais detalhes técnicos sobre o TLS 1.3 e como ele difere do TLS 1.2, consulte a visão detalhada do TLS 1.3 do diretor de criptografia da Cloudflare, Nick Sullivan.