从7月15日开始,所有Twitter连接都需要TLS 1.2,Twitter将推动进入TLS 1.0和TLS 1.1。作为全球评论部分的社交媒体巨头将正式要求所有连接从7月15日开始使用TLS 1.2或更高版本。
此举是弃用TLS协议的过时版本的更大动作的一部分。TLS 1.0和TLS 1.1存在合理的安全问题,这就是为什么科技行业的每个主要参与者已经,或者已经宣布计划弃用对它们的支持。
![f73c87349899a9c9af7a7d555ed46419.png](https://i-blog.csdnimg.cn/blog_migrate/1440515dc89d249766e14d1424edae84.jpeg)
Twitter De-platforms TLS 1.0和TLS 1.1
虽然Twitter实际上宣布了一个月前6月11日即将取消对TLS 1.0和TLS 1.1的支持,但直到Twitter昨晚遭遇停电之前,它还是有点昙花一现。
随着服务的回归,Twitter对其原因有点不透明:
中断是由于内部配置更改,我们现在正在修复。有些人可能会再次访问Twitter,我们正在努力确保尽快向所有人提供Twitter。
配置问题很可能源于Twitter即将取消对旧版TLS协议版本的支持。再一次,这只是一个有根据的猜测,但它会排队。如果Twitter神秘推迟其弃用日期,会有更好的想法。
无论哪种方式,所有连接都需要TLS 1.2的计划已经在进行中。 每个Twitter的Andy Piper:
从2019年7月25日开始,所有与Twitter API(以及所有其他Twitter域名)的连接都需要 TLS 1.2。此更改将影响API的所有格式和层(REST,流媒体和webhook;标准,高级,企业,广告和媒体API),以及更广泛的Twitter平台。
![6a152d45ffd8ae60857192721499c1cf.png](https://i-blog.csdnimg.cn/blog_migrate/3c6a827ab0bc2071100fe442d6bb669d.jpeg)
这将对连接到Twitter的API产生最大影响。如果网站或博客上有共享按钮或Twitter订阅源,这意味着这可能会对网站有影响。一般来说,很多这类网络应用程序和插件都是由第三方开发的,有希望在第三方之上。但是如果自己开发了一个糟糕的提供商,可能会陷入困境。
我们建议查看连接到Twitter API的所有代码,并验证它是否使用支持现代安全加密标准的库。具体而言,必须确保代码正确协商与api.twitter.com和关联域的TLS 1.2连接。
所以,如果还没有意识到,这是您的通知:确保您使用Twitter或其API支持TLS 1.2的任何连接,或者它们将在2019年7月15日中断。
为什么不推荐使用TLS 1.0和TLS 1.1?
对于初学者来说,他们在互联网时代是古老的。SSL(安全套接字层)1.0是SSL / TLS的第一次迭代,它是由Netscape在1995年开发的,由于安全漏洞而从未发布过。2.0发布时存在安全漏洞,几乎立即需要在1996年开发SSL 3.0。 TLS于1999年作为SSL的继承者推出。SSL 2.0和SSL 3.0分别于2011年和2015年正式弃用,但令人不安的网站数量至今仍支持它们。
SSL和TLS在技术层面上存在一些差异,可能是最大的,至少在最初阶段,是通过端口或协议启动连接的方式。但是,每个后续版本都对其前辈进行了技术改进,因此可以认为TLS 1.3和TLS 1.2彼此之间的差异远远大于SSL 3.0和TLS 1.0。
TLS 1.0于99年发布。TLS 1.1在2006年出现.1.1实际上是该家族的,它没有被广泛采用主要是因为TLS 1.2在2008年两年后出现。去年,经过近30次草案,IETF最终将TLS 1.3定义为RFC 8446。
根据WatchGuard,这里有多少网站仍然支持各种协议:
现在让我们来谈谈继续支持TLS 1.0和TLS 1.1的威胁:具有不良首字母缩略词的漏洞。SSL剥离攻击。降级攻击。
现在,如果我们说实话,很多这些漏洞实际上相当复杂。很多时候,这个行业很难区分即将来临的威胁和理论上的威胁。尤其是这个对纯度如此着迷的行业,尤其对此感到内疚。
但是,这些漏洞可能被利用的可能性非零。
网站和应用程序即将遇到的更大问题是缺乏关键行业参与者的支持。苹果,微软,Mozilla和谷歌这四家主要的浏览器制造商联合宣布计划在2020年1月弃用对TLS 1.0和TLS 1.1的支持。PCI DSS已经强制要求弃用TLS 1.0,并强烈建议弃用对TLS 1.1的支持。 随着越来越多的行业领导者宣布计划停止支持除TLS 1.2和TLS 1.3之外的所有内容 - 继续支持旧版本的理由将变得越来越难。
这对SSL证书意味着什么?
SSL / TLS证书不依赖于协议版本,反之亦然。当新版本的协议可用时,或者已弃用,这是服务器端配置任务。如果需要更改密钥大小要求或数字签名,则可能需要更新证书,但通常可以升级到TLS 1.3或删除对旧版TLS版本的支持,而无需更新或调整证书使用情况。
![0f5a59176c43931523c3fc3acb1ed358.png](https://i-blog.csdnimg.cn/blog_migrate/bd751c76e203e79d67ff0c10f7cd91bd.jpeg)
如前所述,更大的问题是对任何使用Twitter API的程序的代码进行服务器更新和调整。
普通的Twitter用户可能不会发现任何差异,除非他们使用旧设备或运行过时的操作系统或浏览器版本。这将是一个在组织层面产生影响的变化。