Rekomendasi Protokol SSL

SSL (Secure Socket Layer) atau mestinya yang disebut TLS (Transport Layer Security), tapi di dunia nyata disamakan maksudnya, sebenarnya ada beberapa versi protokolnya. Dan tidak semua perlu digunakan karena mungkin sudah lama atau sudah ada celah keamanan.

Setidaknya ada 5 versi protokol SSL:

  • SSL v2 – Sudah tidak aman (DROWN) dan sangat dianjurkan tidak digunakan.
  • SSL v3 – Sama, sudah ada celah kemananannya (POODLE).
  • TLS v1.0 – Ini versi lama, dan sempat ada celah keamanannya (BEAST) tapi sudah dimitigasi pada browser modern.
  • TLS v1.1 – Masih belum ada celah keamanan. Salah satu yang direkomendasikan untuk kompatibilitas dengan browser lama.
    Versi browser paling rendah yang didukung: Firefox 1, Chrome 1, IE 7, Opera 5, Safari 1, Windows XP IE8, Android 2.3, Java 7
  • TLS v1.2 – Sama dengan versi 1.1 tapi bisa menggunakan algoritma kriptografi (cipher suite) modern. Ada kemungkinan tidak kompatibel dengan browser versi lama.
    Versi browser terlama yang didukung: Firefox 27, Chrome 30, IE 11 on Windows 7, Edge, Opera 17, Safari 9, Android 5.0, Java 8.

Kesimpulannya? Gunakan TLS v1.2 sebagai yang utama dan TLS v1.1 untuk cadangan kalau browser pengunjung tidak mendukungnya.

Bagaimana cara menentukan agar web server pakai versi protokol yang mana? Sangatlah mudah:

  • Apache
    SSLProtocol             all -SSLv3
  • Nginx
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

Tambahkan/edit pada konfigurasi virtual host websitenya ya. Saya asumsikan anda sudah tahu cara setting SSL pada VPS, dan kode diatas juga berasumsi dengan tingkat menengah jadi kompatibilitas kliennya bisa lebih banyak.

2 pemikiran pada “Rekomendasi Protokol SSL

  1. mas chandra,
    bahas juga dong untuk TLSv1.3
    bagaimana cara mengimplementasikan di nginx dan sekalian kelebihannya mas, hehe 😀
    trims

Tinggalkan komentar