3.1.1. SSL/TLS Protocol Versions (Versioni di protocollo SSL/TLS)

È importante sia smettere di utilizzare vecchie versioni meno sicure di SSL/TLS sia iniziare a utilizzare versioni moderne più sicure; pertanto, le seguenti sono le raccomandazioni relative alle versioni del protocollo TLS/SSL:

• Le implementazioni NON DEVONO negoziare SSL versione 2.

  Motivazione: Oggi, SSLv2 è considerato non sicuro [RFC6176].

• Le implementazioni NON DEVONO negoziare SSL versione 3.

  Motivazione: SSLv3 [RFC6101] era un miglioramento rispetto a SSLv2 e ha risolto alcune significative falle di sicurezza, ma non supportava suite di cifratura forti. SSLv3 non supporta le estensioni TLS, alcune delle quali (ad esempio, renegotiation_info [RFC5746]) sono critiche per la sicurezza. Inoltre, con l'emergere dell'attacco POODLE [POODLE], SSLv3 è ora ampiamente riconosciuto come fondamentalmente non sicuro. Vedere [DEP-SSLv3] per ulteriori dettagli.

• Le implementazioni NON DOVREBBERO negoziare TLS versione 1.0 [RFC2246]; l'unica eccezione è quando nella negoziazione non è disponibile alcuna versione superiore.

  Motivazione: TLS 1.0 (pubblicato nel 1999) non supporta molte suite di cifratura moderne e forti. Inoltre, TLS 1.0 manca di un vettore di inizializzazione (IV) per record per le suite di cifratura basate su CBC e non avverte contro errori di padding comuni.

• Le implementazioni NON DOVREBBERO negoziare TLS versione 1.1 [RFC4346]; l'unica eccezione è quando nella negoziazione non è disponibile alcuna versione superiore.

  Motivazione: TLS 1.1 (pubblicato nel 2006) è un miglioramento della sicurezza rispetto a TLS 1.0, ma non supporta ancora alcune suite di cifratura più forti.

• Le implementazioni DEVONO supportare TLS 1.2 [RFC5246] e DEVONO preferire negoziare la versione TLS 1.2 rispetto alle versioni precedenti di TLS.

  Motivazione: Diverse suite di cifratura più forti sono disponibili solo con TLS 1.2 (pubblicato nel 2008). Infatti, le suite di cifratura raccomandate da questo documento (Sezione 4.2 di seguito) sono disponibili solo in TLS 1.2.

Questo BCP si applica a TLS 1.2 e anche alle versioni precedenti. Non è sicuro per i lettori presumere che le raccomandazioni in questo BCP si applichino a qualsiasi versione futura di TLS.