Los navegadores empezarán este mes a bloquear webs https que usen TLS 1.0 y 1.1

A pesar de que hace ya hace un par de años que se anunció la retirada del soporte a TLS 1.0 y 1.1, todavía quedan cientos de miles de páginas web que utilizan estos protocolos y que todavía no han actualizado este protocolo de seguridad a las versiones 1.2 o 1.3. Se calcula que todavía quedan más de 850.000 páginas web que todavía utilizan estos protocolos antiguos, por lo que si no quieren dar problemas de acceso tendrán que comenzar a actualizarlos.

Esto se debe a que los principales navegadores, que decidieron bloquear el acceso a las páginas con dichos protocolos a principios de 2020 han anunciado que, efectivamente, empezarán a hacerlo. Estos navegadores son Safari de Apple, Chrome de Google, Firefox de Mozilla y Edge de Microsoft.

Muchos pueden pensar que las páginas que utilizan todavía TLS 1.0 y 1.1 son mayoritariamente páginas de particulares o de empresas muy pequeñas, pero la realidad es bastante diferente. Entre estas páginas hay webs de grandes bancos, gobiernos, medios de comunicación, empresas de telecomunicaciones, tiendas de comercio electrónico y comunidades de Internet. De hecho, según Zdnet, más de 5.000 de estas páginas figuran entre el millón de páginas del ranking de Alexa más importantes del mundo.

Eso sí, todos usan https, pero con una versión que presenta debilidades y problemas, por culpa del uso de estos protocolos anticuados. Soportan así conexiones https seguras a través de certificados criptográficos, pero desarrollados partiendo de los protocolos TLS 1.0 y 1.1.

Estos protocolos se publicaron respectivamente en 1996 y 2006, y usan algoritmos criptográficos que en la actualidad se consideran débiles y vulnerables a diversos ataques criptográficos que han aparecido en los últimos 20 años. Con ellos, los atacantes pueden descifrar el https y acceder al tráfico web, en texto plano, de un usuario. Sus nuevas versiones, la 1.2 y la 1.3, aparecieron respectivamente en 2008 y 2017, y en general son considerados como más seguros que TSL 1.0 y 1.1.

Las primeras muestras de que se avecinaba el final del soporte a las webs con TLS 1.0 o 1.1 se acercaba comenzaron ya el año pasado, cuando los navegadores empezaron a etiquetar las páginas que las utilizaban con un indicador de «no seguro» en la barra de direcciones dispuesta para la URL. También se añadió a este mensaje un icono de una cerradura, lo que ofrecería a los que visitaban estas páginas que la conexión https no era tan segura como podrían pensar.

Pero a finales de este mes de marzo se dará nu nuevo paso. A partir de entonces, los navegadores pasarán de mostrar este aviso a mostrar páginas completas de error al acceder a webs con TLS 1.0 o 1.1. Empezarán a aparecer con el lanzamiento de la versión 81 de Chrome y la 74 de Firefox, cuya salida está prevista para este mes. Safari también tiene previsto retirar el soporte a ambas versiones del protocolo este mes. Microsoft les seguirá a finales de abril, con el lanzamiento de Edge 82, basado en Chromium.