提醒:本文最后更新于 1706 天前,文中所描述的信息可能已发生改变,请仔细核实。
由于主流浏览器将于本月月底(3月底)后对访问使用TLS 1.0和TLS 1.1协议的网站进行不安全警告,所以博客服务器目前已经去除了这两个协议。
这在之前文章《小试HTTP3》中也提到了,当时说是最迟5月取消支持,算是比预期提前了一些。下图为各家浏览器的执行时间:
我还未仔细了解警告是针对那些不支持TLS 1.2+的网站,还是只要含有TLS 1.0或TLS 1.1协议的网站。但不重要,重要的是支持以上协议的操作系统和浏览器都属于较旧,甚至可以说是老旧版本。
更重要的是,怎么说呢,终于名正言顺的干掉IE 8了,应该说包括IE 10的之前旧版本全灭。还有傻瓜Safari的旧版本也基本完蛋。虽说现在IE 11和新版Safari依旧很傻,但好歹功能还算好支持。
借此机会,之前文章提到的SPDY支持也一并去掉了。顺便把博客主题Seven去掉了JQuery,并简单优化了下。还可以吧,只能说再次见识到IE挺废的。。。(IE 11不支持Fetch API,还是用回XMLHttpRequest)
言归正传,去掉TLS 1.0和TLS 1.1协议挺简单的,对nginx配置中的ssl_protocols
,只留TLS 1.2和TLS 1.3协议就可以了。值得一提的是如果你不想使用较弱的加密套件(CBC),那么较之前文章《我的Nginx编译之旅》,把其中的等价加密算法,改成以下即可仅使用较为安全的加密套件。
[TLS13+AESGCM+AES128|TLS13+AESGCM+AES256|TLS13+CHACHA20]:[EECDH+ECDSA+AESGCM+AES128|EECDH+ECDSA+CHACHA20]:EECDH+ECDSA+AESGCM+AES256:[EECDH+aRSA+AESGCM+AES128|EECDH+aRSA+CHACHA20]:EECDH+aRSA+AESGCM+AES256
目前在TLS 1.2下,使用CBC加密套件也就老旧Safari了,没必要留。
根据Google Analytics的统计,理论上去掉TLS 1.0和TLS 1.1协议后,每月访问量大概减少了1k+(目前月访问量在1.2W左右)。
最后最后,我是不会告诉你,因为没用前端框架的原因,写的主题js在去JQ后没法支持IE 8(只能相对完整支持10+,有限支持8+,完整fallback到9+),所以才一次性把TLS 1.0和TLS 1.1给灭了,SPDY算是被波及。
讲道理,有时间有机会,还是要学下前端框架,就不用这么麻烦,写的也不用那么难受,甚至低版本浏览器也能更好支持。
哦,对了,还有件事,Patch更新了,因为SPDY存在意义不大了,做了下变动,顺便重新整合了quiche的patch。
2020-03-13:补充一张图。点击右边展开图片▼显示
转载请注明转自:kn007的个人博客的《博客终止使用TLS 1.0和TLS 1.1协议》
我是一直按照MYSLL的要求来,很早的时候就提议我取消TLS1.0了,为了达到A+,我从了。
@叶子: myssl吧。。。我们用ssllabs多。
不过怎么说呢,不到最后一刻,还是会保留的。。。
TLS 1.2+我都取消了。
仍然十几年如一的http 哈哈哈
@心灵博客: 可以,节省成本
哈哈哈,现在都是TLS 1.2 和TLS 1.3的天下了
@夜枫: 算是吧
SSL主流协议
真厉害 月访问一万多
@噜啦啦噜啦啦噜啦噜啦类: 这已经少了好多了啊