2 KiB
+++ author = "Yann Verry" date = 2018-11-18T20:08:16Z description = "" draft = false image = "GHOST_URL/content/images/2018/11/key.jpg" slug = "tlsv1-3" title = "TLSv1.3 en masse"
+++
Suite à une faille de sécurité dans nginx au niveau de h2 Ondřej Surý upgrade la version nginx de 1.4.1 ce qui est une très bonne chose.
Petite nouveauté, nginx est compilé avec la version 1.1.1 d'OpenSSL
nginx version: nginx/1.14.1built with OpenSSL 1.1.1 11 Sep 2018
Ceci ouvre donc la possibilité d'activer TLSv1.3 (10ans après TLSv1.2!). C'est donc parti le plus simplement du monde en ajoutant dans la directive ssl_protocols le protocole TLSv1.3 puis recharger nginx et ... c'est tout ! Beaucoup d'article tournais autour d'une compilation à la main d'OpenSSL puis ensuite nginx, c'est bien pour du test mais aucunemment pour tout les jours car ce sera une solution jamais mis à jours donc bientôt bourré de faille de sécurité (tiens m'ai j'en parle déjà tout en haut)
Zéro RTT
Ok c'est super TLSv1.3 mais quel est l'interêt ? Pour moi l'interêt majeur est le zéro RTT. L'idée est d'aller plus vite à l'initialisation de la connexion, tout le web est passé de http vers https, on a perdu en rapidité, il était temps de récupérer un peu de cette vitesse perdu malheureusement ce n'est encore que très peu disponible côté serveur car il y a des problèmes de sécurité.
Sur nginx par exemple ajouter la directive ssl_early_data on;
Ciphers obsolète
Le second interêt majeur est d'enfin supprimer tout le legacy qu'on se traîne depuis bientôt deux décennies (oui oui). TLSv1.3 autorise uniquement un niveau élevé exit donc les cipher/echange de clé/... :
- 3DES
- MD5/SHA1
- RC4
- DSA
- CBC
Je pourrais en dire bien plus mais le sujet est déjà abondamment traité. Bon upgrade vers TLSv1.3 et je vous suggère de laisser uniquement 1.2 et 1.3 d'actif avec les bon ciphers ça ne fera pas de mal puis ensuite de faire jouer la suite qualys