SSL TLS いろいろバージョンある

なんでバージョンアップしなきゃいけないのか。

SSL(またTLS)プロトコルは、ユーザとSSL(セキュアー・ソケット・レイ ヤー)電子商取引サイトの間のコミュニケーションの暗号化のためのウェブ規格
以下のとおり暗号化のアルゴリズムでＳＳＬからＴＬＳに名称が変更された。
（SSL4.0がTLS1.0と同じということ、現実にはありませんよSSL4.0なんて）

SSL/TLSの歴史
１．SSL1.0
　リリース前に脆弱性が発見され公開されなかった

２．SSL2.0
　1994年リリース

脆弱なアルゴリズムが使用可能なダウングレード攻撃を受ける恐れあり。2011年3月、RFC 6176 によって使用を禁止された

３．SSL3.0
　1995年リリース
通信の一部を解読可能な「POODLE」という脆弱性あり。2015年6月、RFC 7568によって使用を禁止された

４．TLS1.0
　1999年リリース
SSL3.0と同じく、「POODLE」の対象。共通鍵暗号アルゴリズムにAESが追加されている

５．TLS1.1
　2006年リリース
ハッシュのアルゴリズムにSHA-256が追加、認証付き暗号を用いたcipher suiteが利用可能に
６．TLS1.2
　2008年リリース
ハッシュのアルゴリズムにSHA-256が追加、認証付き暗号を用いたcipher suiteが利用可能に

７．TLS1.3
　2018年リリース
2018/8にRFC8446として正式公開された
TLS1.2に比べ、ハンドシェイクの効率化・暗号強度の向上が実装された。



※SSLはRFCによってすべて使用を禁止されている。


TLS1.2に移行しましょう
クレジットカード業界における国際セキュリティ基準であるPCI DSS v3.2に、TLSに関して記載があります。


セキュリティ機能の新規実装時には、SSLと早期のTLS（1.0と1.1の一部の実装）を使用してはいけない
既存で実装されているSSLと早期のTLSに関しては、2018年6月30日までに廃止し、TLSの安全なバージョンのみを使用しなければならない
早期のTLSを利用してはいけない主な理由としては、暗号化通信の一部を解読可能な「POODLE」という脆弱性が存在しているからです。

「POODLE」という脆弱性が発見された当初はSSL3.0 のみが対象とされていましたが、その後TLS1.0/1.1の一部の実装においても影響を受けると発表されました。 そのため、様々な企業・団体が「TLS1.0/1.1」の使用をやめ、「TLS1.2」への移行や使用の推奨を始めています。

こんな理由てバージョンアップや旧機能の無効化が必要なのです。


バージョンアップの内容
接続シーケンスシンプルに（ほかの更新もあります。）
●TLS1.2のシーケンス
（RFC5246）
4回やり取りを行った後に暗号化開始となります。
●TLS 1.3のシーケンス
（RFC8446）暗号化までのやり取りが2回に減っています。