O TLS é a versão "nova" do SSL? Quais recursos ele adiciona ou quais são os problemas de segurança que ele aborda?
Qualquer coisa que suporta SSL suporta TLS? O que estaria envolvido em fazer a troca? A mudança vale a pena?
Por que os e-mails são enviados por "TLS oportunista" e as VPNs geralmente chamadas de SSL VPN? Existe alguma diferença na tecnologia, talvez criando espaço para uma linha de produtos "TLS VPN"?
Respostas:
TLS e SSL são tecnologias estreitamente relacionadas.
Primeiro, email e TLS oportunista. O ESMTP tem a opção de executar a parte real da transferência de dados da conversa em um link criptografado. Isso faz parte do protocolo e foi chamado TLS durante a maior parte de sua existência. Funciona aproximadamente assim:
-> EHLO foreignmailer.example.com
<- 250 Howdy, stranger
<- [list of capabilities, of which TLS is listed]
-> [Indicates it wants to start a TLS session]
<- [accepts negotioation]
-> [Mail actions, of which LOGIN might be one]
Depois que a sessão TLS for iniciada, novos métodos de login poderão estar disponíveis. Este é um exemplo de um protocolo que inclui o Transaction Layer Security diretamente nele. Os certificados usados são o mesmo tipo de certificado usado para SSL sobre HTTP.
Para um exemplo de serviço que não inclui TLS diretamente, use POP3 sobre SSL. Nesse caso, a sessão segura é negociada antes que o protocolo real seja negociado. Em essência, o POP3 está sendo encapsulado dentro de uma sessão segura.
Em geral, se um serviço suportar SSL, ele poderá ser estendido para suportar TLS. Se isso foi feito ou não, cabe aos mantenedores do serviço. Isso significa que o TLS pode substituir o SSL em "SSL VPNs".
As VPNs SSL são distintas de seus primos baseados em IPSec, pois a sessão segura é feita em um nível diferente. As VPNs SSL funcionam da mesma maneira que o POP3 sobre SSL, pois o tráfego é encapsulado por uma conexão TCP existente. As VPNs IPSec criam um túnel seguro no nível IP , onde as VPNs SSL criam um túnel seguro no nível TCP . A razão pela qual as VPNs SSL parecem estar assumindo o controle é que são mais fáceis de configurar e mais tolerantes às más condições de rede. As VPNs SSL podem e usam o protocolo TLS para proteger a sessão, embora dependa do fabricante da própria VPN.
Quanto às diferenças exatas de nível de protocolo entre SSL e TLS, nas quais não consigo entrar. O TLS como padrão foi alcançado mais tarde que o SSL e, portanto, inclui algumas das lições aprendidas nas primeiras versões do SSL. O SSLv3 foi ratificado em 1996 e o TLS1.0 em 1999, e o desenvolvimento adicional de protocolos parece estar limitado ao conjunto TLS. Demorou muito tempo para o SSLv1 e a v2 desaparecerem. O TLS é o sucessor claro do conjunto SSL.
TLS é essencialmente uma atualização para SSL. As alterações não são dramáticas, mas são significativas o suficiente para quebrar a compatibilidade com o SSL3.0.
O artigo da Wikipedia cobre extensivamente, mas em termos razoavelmente compreensíveis. (Não quero RTFM, mas não quero repetir tudo lá.)
Eles são usados de maneiras semelhantes e ainda é referido como SSL. Basicamente, você escolhe seu esquema de criptografia para ser um ou outro.
opensslparece discordar. (Muitos programas de dizer "TLS" quando querem dizer "STARTTLS".)
O SSL, como as pessoas já apontaram, é um protocolo desenvolvido pela Netscape no passado. Em algum momento, o corpo de padrões da IETF decidiu adotar o protocolo SSLv3 como padrão, por isso sofreu alterações muito sutilmente e recebeu o nome de TLSv1.0.
Portanto, para a maioria das pessoas, o TLSv1.0 é quase equivalente ao SSLv3. A razão pela qual as pessoas ainda chamam a família de protocolos SSL é por razões históricas - todos estão acostumados com o nome e continuam usando-o. É bem possível que a VPN esteja usando o TLS oculto, mas o nome de marketing ainda permanece como VPN SSL.
Desde o TLSv1.0, houve duas revisões do padrão e agora ele está no TLSv1.2, que embora ainda seja compatível, apresenta algumas mudanças significativas. Devido ao design do SSL / TLS, o cliente e o servidor podem negociar qual versão do protocolo desejam usar, para que os clientes que usam o TLSv1.0 ainda possam conversar com os servidores que implementam o TLSv1.2 e vice-versa.
Considerando a interoperabilidade entre todas as versões do protocolo, não há "mudança", pois elas são da mesma família. É uma questão de "preciso usar a versão mais recente?". Como em qualquer outra área, a resposta a esta pergunta dependerá se a versão atual que você está usando tem alguma limitação ou não. Atualmente, não há problemas com o uso do SSLv3, mas a maioria dos clientes e servidores por aí trabalha com o TLSv1.0.
Espero que isso esclareça um pouco a imagem. Caso contrário, deixe-me saber o que ainda é confuso, tentarei explicar melhor.
O TLS é a versão "nova" do SSL? Quais recursos ele adiciona ou quais são os problemas de segurança que ele aborda?
TLS é t ransporte L Ayer S egurança e, geralmente, refere-se ao comando STARTTLS em servidores de correio SMTP. Pode ou não usar SSL (consulte SEE palm versamal, por exemplo), mas em geral o SSL é o principal sistema de segurança usado. O TLS também foi usado para outros fins (como HTTP) e as especificações RFC mais recentes estão na versão 1.2
Qualquer coisa que suporta SSL suporta TLS? O que estaria envolvido em fazer a troca? A mudança vale a pena?
Geralmente, mas por qualquer coisa, com TLS sendo considerado, você está se referindo a servidores de e-mail, portanto, especificamente, servidores de e-mail que possuem um certificado SSL podem usar o TLS para transferir e receber e-mails.
Por que os e-mails são enviados por "TLS oportunista" e as VPNs geralmente chamadas de SSL VPN? Existe alguma diferença na tecnologia, talvez criando espaço para uma linha de produtos "TLS VPN"?
Isso cheira como os meatheads de marketing entraram na sala. "TLS oportunista" significa simplesmente que, se o starttls não retornar um 220 (Pronto para iniciar o TLS), vá em frente e envie o email de qualquer maneira. Observe que TLS é uma opção SENDER e não uma opção de recebimento. Em alguns servidores de email, pode ser possível recusar emails não TLS, mas essa seria a exceção, não a regra.
O TLS também suporta autenticação mútua e não simplesmente a criptografia de uma conexão.
O envio de um email por uma VPN (SSL ou outro esquema de segurança) simplesmente torna a segurança dos servidores de correio essencialmente irrelevante, você pode usar o TLS em uma VPN (e pode até usar o TLS como o esquema de segurança da VPN), mas isso não afeta necessariamente como o correio é transportado se apenas a conexão VPn estiver criptografada entre os servidores de correio (portanto, dos servidores de origem e de destino, eles podem estar transmitindo texto não criptografado padrão)