// Glossario IT
TLS/SSL
I protocolli crittografici che cifrano le comunicazioni di rete, alla base di HTTPS e di molti altri servizi sicuri.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
TLS (Transport Layer Security), successore di SSL (Secure Sockets Layer, oggi considerato obsoleto e insicuro), è il protocollo che cifra le comunicazioni tra client e server: negozia un algoritmo di cifratura condiviso, verifica l'identità del server tramite il suo certificato digitale, e stabilisce un canale sicuro attraverso cui passano i dati applicativi.
Perché conta
È lo strato di sicurezza su cui si appoggiano HTTPS, le VPN, la posta elettronica cifrata e moltissimi altri servizi. Usare ancora versioni obsolete di SSL o le prime versioni di TLS espone a vulnerabilità note e ben documentate: mantenere aggiornata la configurazione TLS di server e applicazioni è una delle attività di manutenzione della sicurezza più basilari e più spesso trascurate.
In pratica
Sui server vanno disattivati SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1; si usa TLS 1.2 con suite di cifratura robuste e TLS 1.3 dove supportato. I certificati vanno rinnovati prima della scadenza, meglio in automatico, e sui siti web conviene attivare HSTS per impedire il ritorno a connessioni non cifrate. Riferimento: NIST SP 800-52 Rev. 2, Guidelines for the Selection, Configuration, and Use of TLS Implementations.