[English]Im Firefox 74 hatten die Mozilla-Entwickler ja die Protokolle TLS 1.0/1.1 deaktiviert (siehe Firefox 74.0 und 68.6.0esr verfügbar). Auf Grund der Coronavirus-Pandemie wurden TLS 1.0/1.1 wieder aktiviert, um das Abrufen von entsprechenden Informationen zu Covid-19 auf offiziellen Behördenseiten wieder zu ermöglichen. Danke an Ralf für den Link.
Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.
Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.
-
MVP: 2013 – 2016
WIMVP: 2017 – 2020
Habe da jetzt nicht so den Überblick aber nutzen echt noch so viele Behörden TLS 1.0/1.1?
Die Frage ist warum. Mein Beispiel ist zwar keine Behörde, aber warum hat die Telekom(T-Online) auf den WebMail-Servern, die während der Authentifizierung mit beteiligt sind, Ewigkeiten daran festgehalten(zwingend TLS1.0). Mehrmals bemängelt – aber nur BlaBla – war schon sehr fragwürdig, hatte möglicherweise auch einen unschönen Grund.
Die Frage ist warum. Mein Beispiel ist zwar keine Behörde, aber warum hat die Telekom auf den WebMail-Servern, die während der Authentifizierung mit beteiligt sind, Ewigkeiten daran festgehalten(zwingend TLS1.0). Mehrmals bemängelt – aber nur BlaBla – schon sehr fragwürdig, hatte möglicherweise auch einen unschönen Grund.
Sowieso ein Blödsinn von Firefox gewesen!
Nein, keineswegs ein Blödsinn, TLS 1.0 und 1.1 sollte man aus Sicherheitsgründen schon lange nicht mehr verwenden!
TLS 1.0 ist aus dem Jahre 1999, TLS 1.1 aus dem Jahre 2006…Hallo?
Ein Blödsinn, bzw. fahrlässig sind Webseiten-Betreiber und Hoster welche dies noch verwenden!
An diesem Beispiel sieht man, wo unter anderem die grundsätzlichen Probleme von Sicherheit liegen, es geht nun mal nicht, alten Müll weiter zu betreiben und gleichzeitig Sicherheit zu haben, das ist ein Gegensatz.
Das ist ja alles schön und gut, nützt nur nichts, wenn Webseitenbetreiber dies nicht ändern und der User dann ein Problem hat. GRUNDSÄTZLICH muss so etwas OPTIONAL geschehen (von mir aus per default-setting, aber dann muss ich das wieder aktivieren können).
Sorry, das ist Quatsch, der User handelt sich damit vielfälligere Probleme ein, solche Seiten sollten nicht mehr verwendet werden, spätestens dann merkts der Betreiber allenfalls :-)
Zudem haben ALLE grossen Browserhersteller bereits im 2018 angekündigt, dass Anfang 2020 TLS 1.0 und 1.1 deaktiviert wird.
Wenn einem das nicht passt, kann man ja den alten Browser verwenden….selber Schuld.
Vergleichen wir das ganze doch mal mit der realen Katastrophe, welche leider zur Zeit abgeht.
Auch hier gehts im Prinzip um dasselbe, die Weisungen der Regierungen werden hier auch von vielen ignoranten, verblödeten Egoisten auch nicht eingehalten.
Was ist die Folge davon, Ausgehsperren usw. für alle.
Nehmen wir an die Gemeindeverwaltung wird geschlossen wegen Corona-Verseuchung (TLS 1.0 und 1.1),
zehn "User" haben ein Problem und wollen ein Formular, die Gemeinde öffnet daher wieder, treten Sie dort ein?
Oder wenn die Gemeinde nicht öffnet, öffnen/ändern Sie dann das Default-Türschloss damit Sie eintreten können?
Bei der IT-Sicherheit gehts im Prinzip um nichts anderes als bei der Gesundheit, bzw. Schutz vor Ansteckungen usw.
und es hat ebenso so viele ignorante…., ergo muss dann der "Hebel" woanders angesetzt werden, zum Schutz aller.
Wenn wir nun hier nichts daraus lernen und entsprechend Umdenken…gute Nacht…die nächste Katastrophe kommt schneller als wir denken.
Der einzige Unterschied (im Moment) ist in der Regel, dass es nicht gleich unmittelbar Tote zu beklagen gibt.
Es ist und bleibt eine Tatsache, das guter, bestmöglicher Schutz NIE mit altem Müll und abwärtskompatibilität möglich ist.
Genau das ist einer der Hauptunterschiede zu Apple, die ziehen das seit Jahren konsequent durch, deshalb passiert auch entsprechend weniger.
Nur in diesem vertrackten (will jetzt nicht "verkackten" sagen) Windows-Umfeld sind noch viele der User der Meinung, das immer
alles alte noch funktionieren muss, abwärtskompatibel sein muss, das Reslutat ist, dass man alten Mist jahrelang mitschleppt, ein riesiger Flickenkenteppich ist
und permanent unsichere System hat..diese Haltung hat sich damit fatalerweise fast überall "eingebürgert".
Ich muss leider "imho" in den letzten Jahren immer wieder feststellen,
dass der gesunde Menschenverstand grossteils völlig abhanden gekommen ist und die Welt in grossen Teilen leider von ignoranten Egoisten bevölkert ist.
Bei Firefox ESR 68 bleibt es beim alten. Aber nur bis zur nächsten ESR Version (vermutlich ESR 78) Sommer/Herbst 2020.
Wenn man wissen will, welche TLS-Version beim eigenen Firefox mindestens vorliegen muss:
about:config aufrufen und tls im Filter eingeben
Der Wert hinter security.tls.version.min bedeutet:
1 = TLS 1.0
2 = TLS 1.1
3 = TLS 1.2
Da kann auch jeder selbst das einstellen, was er für nötig hält.
Wie haben Sie das denn wieder aktiviert ohne eine neue Version des Firefox herauszubringen?!
Gerade kam ESR 68.6.1 rein. Es werden kritische Sicherheitslücken geschlossen.
Zudem ist 74.0.1 auch neu. Da wird dann wohl TLS 1.0/1.1 auch wieder aktiv sein.
In den Chanlogs steht nichts zu TLS.
Am Dienstag sollen schon 75 / ESR 68.7 kommen. Die Sicherheitslücken müssen demnach noch vorher schnellstmöglich geschlossen werden, weil sie bereits ausgenutzt werden.