Brak wsparcia TLS 1.2 / 1.3

Brak wsparcia TLS 1.2/1.3 dotyczy przestarzałych bibliotek systemowych lub aplikacji wymuszających starsze, niebezpieczne protokoły (SSL 3.0, TLS 1.0) — aktualizacja systemu i włączenie nowych protokołów w ustawieniach rozwiązuje problemy z połączeniami HTTPS.

Brak wsparcia TLS 1.2 / 1.3 — na czym polega problem

Brak wsparcia dla TLS 1.2 lub TLS 1.3 oznacza, że system operacyjny, przeglądarka, program albo urządzenie sieciowe nie potrafi prawidłowo nawiązać połączenia z usługą internetową wymagającą współczesnego mechanizmu szyfrowania. TLS, czyli Transport Layer Security, odpowiada za ochronę danych przesyłanych między urządzeniem a serwerem. Zabezpiecza między innymi logowanie, formularze, pocztę elektroniczną, połączenia z bankowością internetową oraz komunikację aplikacji z usługami online.

W praktyce problem może pojawić się po wejściu na stronę HTTPS, uruchomieniu programu korzystającego z internetu albo próbie pobrania aktualizacji. Zamiast oczekiwanej zawartości może zostać wyświetlony komunikat o niemożności ustanowienia bezpiecznego połączenia, niezgodnej wersji protokołu lub odrzuceniu połączenia przez serwer. Nie zawsze oznacza to awarię samej witryny. Często przyczyną jest środowisko działające na komputerze użytkownika, w którym dostępne są wyłącznie starsze mechanizmy szyfrowania.

Starsze wersje protokołów, takie jak SSL 3.0 oraz TLS 1.0, zostały wycofane z użycia ze względu na słabszy poziom ochrony i znane ograniczenia bezpieczeństwa. Nowoczesne serwisy mogą celowo odrzucać połączenia przychodzące z urządzeń, które nie obsługują TLS 1.2 lub TLS 1.3. Wyłączenie takiej blokady po stronie serwera nie jest właściwym rozwiązaniem, ponieważ zwiększałoby ryzyko przechwycenia albo modyfikacji przesyłanych informacji.

Znaczenie TLS 1.2 i TLS 1.3 w codziennym korzystaniu z internetu

TLS nie jest pojedynczym programem, lecz zestawem reguł wykorzystywanych przez różne elementy systemu. Z jego obsługi korzystają przeglądarki internetowe, składniki systemu operacyjnego, biblioteki kryptograficzne, klient pocztowy, oprogramowanie antywirusowe, aplikacje firmowe oraz urządzenia pośredniczące w ruchu sieciowym. Wystarczy, że jeden z tych elementów korzysta z przestarzałej biblioteki lub ma błędną konfigurację, aby połączenie z aktualną usługą zostało odrzucone.

TLS 1.2 jest od wielu lat powszechnie stosowanym standardem, natomiast TLS 1.3 wprowadza uproszczony proces uzgadniania połączenia i ogranicza wykorzystanie starszych, mniej bezpiecznych mechanizmów. Dokładny zakres obsługiwanych funkcji zależy jednak od systemu, przeglądarki, biblioteki szyfrującej oraz konfiguracji serwera. Sama obecność nazwy protokołu w dokumentacji nie zawsze oznacza, że dana wersja działa poprawnie w konkretnym programie.

Podczas ustanawiania połączenia obie strony uzgadniają między innymi wersję protokołu, sposób wymiany kluczy, algorytm szyfrowania oraz parametry certyfikatu. Jeżeli urządzenie proponuje wyłącznie rozwiązania wycofane z użycia, serwer może zakończyć rozmowę jeszcze przed przesłaniem właściwych danych. Podobny skutek może wystąpić wtedy, gdy aplikacja nie rozpoznaje aktualnego certyfikatu, nie potrafi zweryfikować łańcucha zaufania albo korzysta z nieaktualnego magazynu certyfikatów.

Warto odróżnić brak obsługi TLS od problemu z certyfikatem. W pierwszym przypadku urządzenie nie potrafi uzgodnić akceptowalnej wersji zabezpieczeń. W drugim połączenie może zostać nawiązane, ale certyfikat jest nieważny, wygasł, nie pasuje do adresu strony albo nie może zostać zweryfikowany przez lokalny system. Oba przypadki mogą wywoływać podobne komunikaty, dlatego potrzebna jest analiza konkretnego środowiska.

Typowe objawy, przyczyny i błędy konfiguracyjne - Brak wsparcia TLS 1.2 / 1.3

Najczęściej zauważanym objawem jest brak dostępu do wybranych stron internetowych przy jednoczesnym działaniu innych witryn. Może również wystąpić błąd podczas logowania do aplikacji, synchronizacji danych, pobierania plików, aktualizacji programu lub wysyłania poczty. Jeżeli problem dotyczy tylko jednego komputera, a na innych urządzeniach ta sama usługa działa prawidłowo, należy sprawdzić lokalną konfigurację, a nie wyłącznie połączenie internetowe.

Do częstych przyczyn należą:

• nieaktualny system operacyjny lub przeglądarka internetowa,
• stara biblioteka kryptograficzna używana przez konkretną aplikację,
• wyłączone albo ograniczone protokoły TLS w ustawieniach systemu,
• nieprawidłowa data, godzina lub strefa czasowa, przez co certyfikat jest oceniany jako nieważny,
• przestarzały magazyn głównych certyfikatów zaufania,
• program zabezpieczający analizujący ruch HTTPS i nieobsługujący aktualnych ustawień,
• serwer proxy, filtr sieciowy lub router z nieaktualnym oprogramowaniem,
• aplikacja przygotowana dla starszego środowiska, która nie korzysta z systemowych mechanizmów TLS.

Błędem bywa ręczne włączanie wszystkich dostępnych protokołów bez sprawdzenia, z czego korzysta dany system. Takie działanie może chwilowo przywrócić dostęp do jednej usługi, ale jednocześnie obniżyć poziom ochrony. Nie powinno się także obchodzić ostrzeżeń certyfikatu przez dodawanie wyjątków dla stron, których tożsamości nie udało się potwierdzić. Bezpieczniejsze jest ustalenie, czy źródłem problemu jest przeglądarka, system, aplikacja, filtr sieciowy czy sam serwer.

Diagnostyka powinna obejmować porównanie działania kilku przeglądarek, sprawdzenie aktualności systemu, weryfikację daty i czasu, odczyt pełnej treści komunikatu oraz ustalenie, czy błąd dotyczy wszystkich stron HTTPS, czy tylko jednej usługi. W przypadku programu instalowanego lokalnie trzeba dodatkowo sprawdzić jego wersję, wykorzystywane komponenty oraz sposób przechowywania certyfikatów. Niektóre aplikacje mają własne biblioteki i nie reagują na zmianę ustawień używanych przez przeglądarkę.

Kiedy warto zgłosić brak wsparcia TLS do serwisu

Zgłoszenie do serwisu jest uzasadnione, gdy problem powtarza się mimo prawidłowego połączenia z internetem, dotyczy kilku aplikacji albo uniemożliwia korzystanie z usług wymagających szyfrowania. Szczególnej uwagi wymaga sytuacja, w której komputer nie otrzymuje aktualizacji, używany system jest długo niezmieniany, a każda próba wejścia na stronę zabezpieczoną HTTPS kończy się podobnym komunikatem. W takich warunkach przyczyną może być nie tylko pojedyncza opcja w przeglądarce, lecz także niekompatybilność całego środowiska.

W serwisie komputerowym można przeanalizować konfigurację systemu, stan składników kryptograficznych, wersje przeglądarek i aplikacji oraz wpływ programu zabezpieczającego na połączenia szyfrowane. W razie potrzeby sprawdzane są również ustawienia sieciowe i zależności między konkretnym programem a bibliotekami systemowymi. Celem jest ustalenie, czy wystarczy bezpieczna aktualizacja, korekta konfiguracji, odtworzenie certyfikatów zaufania, wymiana niezgodnego komponentu, czy też konieczne jest szersze uporządkowanie środowiska.

Przed przekazaniem urządzenia warto zanotować dokładny komunikat błędu, adres usługi, nazwę aplikacji oraz moment, od którego problem występuje. Pomocne może być także wskazanie, czy połączenie działa po zmianie sieci lub na innym komputerze. Takie informacje ułatwiają odróżnienie usterki lokalnej od problemu po stronie serwera i ograniczają ryzyko wprowadzania przypadkowych zmian.

W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, dzięki której można najpierw ustalić źródło problemu z połączeniami szyfrowanymi, bez pochopnego wyłączania zabezpieczeń. Po rozpoznaniu przyczyny można dobrać rozwiązanie obejmujące aktualizację, korektę ustawień lub naprawę elementu odpowiedzialnego za komunikację TLS. Jeżeli niezgodność wynika z ograniczeń starego oprogramowania, należy również określić, które funkcje mogą pozostać niedostępne i jakie rozwiązanie zapewni dalszą bezpieczną pracę.