Microsoft ha informado a los usuarios que los protocolos inseguros Transport Layer Security (TLS) versión 1.0 y 1.1 se desactivarán próximamente en futuras versiones de Windows.
Historia del protocolo TLS
La especificación TLS 1.0 fue introducida inicialmente en 1999, mientras que TLS 1.1 se lanzó en 2006. Ambos han sido utilizados durante casi dos décadas.
Adopción de TLS 1.3
El Grupo de Trabajo de Ingeniería de Internet (IETF) aprobó la versión principal del protocolo TLS, TLS 1.3, en marzo de 2018. Microsoft habilitó TLS 1.3 de forma predeterminada en todas las compilaciones de Windows 10 Insider Preview desde la Build 20170.
Recomendaciones para desarrolladores
Microsoft recomienda a los desarrolladores comenzar a implementar TLS 1.3 dentro de sus servicios y aplicaciones, utilizando los conjuntos de cifrado compatibles con la pila TLS de Windows: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 y TLS_CHACHA20_POLY1305_SHA256.
Impacto en usuarios y administradores
Microsoft ha indicado que el cambio se aplicará solo a futuros nuevos sistemas operativos Windows, tanto en las ediciones de cliente como de servidor. Las versiones de Windows ya lanzadas no se verán afectadas por este cambio.
Las compilaciones de Windows 11 Insider Preview desde septiembre de 2023 tendrán TLS 1.0 y 1.1 deshabilitados de forma predeterminada, aunque existe una opción para volver a habilitar estas versiones en caso de necesidad.
Se espera que la transición tenga un impacto mínimo en los usuarios domésticos de Windows, con problemas previstos limitados. Sin embargo, se recomienda a los administradores empresariales que realicen pruebas para identificar y posteriormente actualizar o reemplazar las aplicaciones afectadas.
Aplicaciones afectadas
Las aplicaciones que encuentren problemas o fallen después de deshabilitar TLS 1.0 o TLS 1.1 se etiquetarán mediante el evento 36871 en el registro de eventos de Windows.
- SQL Server – 2012, 2014, 2016
- Microsoft Office 2008 Professional – Accounting Express
- Xbox One SmartGlass – 2.2.1702.2004
- Project Plan 365 – 23.8.1204.14137
- Safari – 5.1.7
- EVault Data Protection – 7.01.6125
- Turbo Tax – 2017, 2014, 2011, 2012, 2016, 2015, 2018
Aunque la opción para volver a habilitar TLS inseguro a través del Registro de Windows seguirá estando disponible, solo debe hacerse como último esfuerzo hasta que las aplicaciones incompatibles puedan actualizarse o reemplazarse.
Contexto y antecedentes
Esto sigue a una declaración conjunta de Microsoft, Google, Apple y Mozilla en octubre de 2018, cuando anunciaron planes para comenzar a eliminar gradualmente los protocolos TLS inseguros. El proceso comenzará durante la primera mitad de 2020.
En agosto de 2020, Microsoft activó TLS 1.3 de forma predeterminada en las compilaciones de Windows 10 Insider.
Cambios adicionales
Microsoft ha realizado varios cambios en sus productos con el objetivo final de ayudar a los clientes a realizar una transición más sencilla a TLS 1.2+:
- Añadir compatibilidad con TLS 1.2 a sistemas operativos más antiguos
- Mediante el envío de nuevos formatos de registro en IIS para detectar un uso débil de TLS por parte de los clientes
- Además de proporcionar la orientación técnica más reciente para eliminar las dependencias de TLS 1.0
En septiembre de 2019, Redmond también dijo que las nuevas versiones de Windows Server 2019 vienen con una función conocida como «Desactivar TLS heredado» diseñada para permitir a los administradores bloquear versiones TLS débiles mediante el enlace de certificados.