Abandonner les anciennes versions de TLS pour votre propre sécurité

Dans 30 jours (22 mars), nous mettrons à jour nos serveurs frontaux qui redirigent tout le trafic Internet vers vos applications hébergées sur Scalingo pour abandonner les anciennes versions non sécurisées de TLS.

Qu'est-ce qui va changer ?

Le “S” dans HTTPS signifie “Sécurisé”. Ce niveau de sécurité supplémentaire est mis en œuvre avec l'aide du protocole TLS (anciennement connu sous le nom de SSL - Secure Socket Layer).

Aujourd'hui, les connexions HTTPS sur Scalingo peuvent utiliser TLS 1.0, 1.1 ou 1.2, et il appartient au navigateur de déterminer quelle est la version la plus récente qu'il peut prendre en charge. Actuellement, tous les principaux navigateurs prennent en charge TLS 1.2. Par conséquent, en pratique, presque toutes les connexions utilisent déjà 1.2.

À partir du 22 mars, Scalingo n'acceptera plus les connexions utilisant des versions de Transport Layer Security (TLS) antérieures à 1.2. De plus, nous ajouterons la prise en charge de TLS 1.3.

En plus de la suppression de TLS 1.0 et 1.1, l'ensemble des chiffres cryptographiques qui seront acceptés sera restreint uniquement aux algorithmes les plus sûrs : pas de SHA1 et pas de 3DES (Vulnérabilité Sweet32). Plus de détails concernant les protocoles et algorithmes pris en charge peuvent être trouvés sur SSL Labs pour https://sample-tls13.scalingo.com.

Pourquoi prévoyons-nous ce changement ?

Comme dirait Marie Kondo, l'objectif du nettoyage n'est pas seulement de nettoyer, mais de ressentir du bonheur en vivant dans cet environnement. Et chez Scalingo, nous ne nous sentons pas heureux lorsque votre sécurité est en danger.

En effet, il y a eu de nombreux rapports concernant des vulnérabilités sévères dans les anciennes versions de TLS qui pourraient mettre des organisations et des utilisateurs en danger, comme les attaques POODLE et BEAST. C'est pourquoi les audits de sécurité exigent maintenant que les sites Web soient accessibles avec une version de TLS d'au moins 1.2.

Étant donné que la majorité des navigateurs prennent en charge TLS 1.2, nous avons déterminé qu'il est plus sûr pour nos utilisateurs d'exiger TLS 1.2 pour accéder aux applications hébergées sur Scalingo. Nous ajoutons également la prise en charge du nouveau TLS 1.3 qui, bien que moins largement déployé, offre une sécurité encore plus stricte.

Comment serez-vous affecté ?

Pour la grande majorité des utilisateurs, rien ne changera du tout.

Il est possible que certaines applications client personnalisées utilisent une ancienne bibliothèque TLS qui n'a pas de prise en charge de 1.2. Ces applications devront être mises à jour pour utiliser une bibliothèque mise à jour.

Photo par Data Gogia sur Unsplash