Контроль версий SSL и TLS

Question

Что касается безопасности SSL и TLS, можно ли запускать несколько версий каждого протокола на сервере? Если это так, я бы предположил, что вам нужно будет сообщить приложениям, какой протокол использовать, поскольку установлены несколько версий. Если нет, какие варианты существуют для подобной среды?

Пример: сервер 1 имеет TLS 1.0, 1.1 и 1.2 на нем.

Answer 1

Это, безусловно, возможно. Для обратной совместимости это необходимо, некоторые клиенты могут не разговаривать с TLS1.2, некоторые из них могут быть способны только TLS1.0 и т. Д. В пакете протокола TLS выполняется согласование версий в приветственных сообщениях сервера и клиента, поэтому после настройки клиента для использования, скажем, только TLS 1.2, он должен иметь возможность согласовать эту версию с сервером. TLS Реализация, такие как GnuTLS и OpenSSL, которые широко используются в качестве SSL позвоночника популярного серверного программного обеспечения, таких как Nginx, поддерживает такую ​​конфигурацию тривиальную:

http { 
    ssl_session_cache shared:SSL:10m; 
    ssl_session_timeout 10m; 

    server { 
     listen    443 ssl; 
     server_name   www.example.com; 
     keepalive_timeout 70; 

     ssl_certificate  www.example.com.crt; 
     ssl_certificate_key www.example.com.key; 
     ssl_protocols  TLSv1 TLSv1.1 TLSv1.2; 
     ssl_ciphers   HIGH:!aNULL:!MD5;