更新（2020-02-25）：此更改已直接应用于我们的负载均衡器-TLS 1.0和1.1现在对所有Stack Exchange属性均已禁用。
作为我们不断提高安全性并与时俱进的常规工作的一部分，我们将在2020年2月12日禁用Stack Exchange服务的TLS 1.0和1.1。TLS1.2和以上将继续工作。注意：这不会立即影响所有服务。我们的某些服务是通过Fastly处理的，而另一些则直接在我们的负载均衡器中处理-此更改不会立即影响两个网段。诸如“问答”，“人才”之类的内容会快速流过，并且将首先受到影响。诸如Chat和我们的API之类的直接功能不会立即受到影响。
为什么？
大多数浏览器和操作系统早在很久以前就已迁移到TLS 1.2（例如，我们不支持Windows XP，而Microsoft也不支持。我们为尽可能多的客户提供支持，但现在是时候进行更改了。如果您想知道TLS 1.0和1.1中的漏洞是什么，可以在这里写上一篇不错的文章。过去几个月来，我们一直在监控流量水平，现在我们的HTTPS统计信息如下：
TLS 1.0：0.6％
TLS 1.1：0.0 ％
TLS 1.2：99.4％
此外，看起来TLS 1.0的绝大多数流量都是漫游器（和/或在全部）-我们估计“不是机器人”请求所占的比例不到0.6％的三分之一。
作为行业发展的一个例子，我们当前的SSL Labs评级为B这纯粹是因为我们计划在此处删除剩余的TLS <1.2支持。 （更新：我们现在的评级为A +。）
如果有人有疑问，请随时在下面发表评论或回答，我们将努力跟上。
#1 楼
取消对过时的安全技术的支持肯定是一个好举动。但是我看到您的统计信息仅包含TLS 1.2，那么您对TLS 1.3有什么计划吗？它是2018年的新标准，并且受所有主要浏览器（不包括IE）和许多云服务（Cloudflare，AWS ELB等）的支持。我真的认为也应该添加。
评论
不了解SE内部的“胆量”，可能是有些后端组件（以及后端和UI或边缘之间的子组件）不能同样地支持TLS 1.3。例如，Java 11支持TLS 1.3，但早期版本中不包含TLS 1.3，并且有很多Java中间件出于某种原因仍在早期版本中运行（我们在工作中运行Java7。） TLS 1.3成为90.xxx％支持的标准需要几年的时间。
–luis.espinal
20-2-6在9:01
IIRC他们是.NET商店，因此，如果将它们限制为<4.6以下的.NET版本，则TLS 1.3不可用。
– Meta Ellen
20-2-6在9:16
我知道一个大公司的依赖限制（我们在实验室Intranet中使用未加密的传输，这本身很小），但是面向公众的部分又如何呢？
– iBug说恢复莫妮卡
20-2-6在9:23
好问题！是的，我们正在研究TLS 1.3 ...但是不想合并这些更改。一旦获得1.0和1.1的支持，这将是以后的跟进：)由于这是您到Fastly的两腿协商，因此我们有能力在需要时在后端之前向用户启用TLS 1.3。 ..但出于好奇，堆栈的所有组件都兼容1.3 :)
–尼克·克拉弗♦
20-2-6在11:14
AWS尚不支持@iBugisdisappointedinSE TLS 1.3 docs.aws.amazon.com/elasticloadbalancing/latest/application / ...
–mbaird
20-2-10在17:06
毫无疑问，IE只是一个主要的浏览器。是否应该进行讨论。 Microsoft应该更好地支持那些站点依赖IE的用户。我不得不在“使用兼容模式”下做很多工作，但这引起了一场完全不同的争论……。
–JosephDoggie
20-2-11在20:59
@mbaird我一定是看错了东西。无论如何，在这种情况下这并不重要。
– iBug说恢复莫妮卡
20-2-12在4:38
@JosephDoggie SE不再正式支持IE。他们的立场曾经是“我们将支持IE，直到它开始崩溃”。它于2018年开始中断，主要功能于2019年开始中断，因此不再在列表中了（谢天谢地）。此外，在大多数跟踪器中，Edge在这一点上的市场份额均超过IE11。
– TylerH
20-2-12在14:45
@TylerH-我的意思不是SO是否“支持” IE，只是说它仍然是主要的浏览器。不幸的是，微软放弃了许多依靠IE的客户。我曾经在只能在IE上运行的应用程序上工作过，注定要“使用兼容模式”。微软为了符合标准而破坏了IE。符合标准是一件好事，而打破主流浏览器则不是。
–JosephDoggie
20-2-12在21:01
@JosephDoggie我真的不认为它被抛弃了。除非您也对Microsoft不再支持Windows 95感到不安？他们提前通知了所有人IE已被新的浏览器取代。
– TylerH
20-2-12在21:08
@JosephDoggie Microsoft确实支持其产品，通常为10年/版本。企业环境应该知道这种情况。永远没有任何支持。只要您还承担这样做的费用，就可以随意支持所需的任何软件。而且，汽车公司确实会定期决定不再为旧型号提供零件。还是您告诉我您可以打电话给福特并为您的Model T换一个新的方向盘？车辆具有不同的预期寿命，但与软件一样，它们的零件和支持寿命也将终止。
– TylerH
20-2-12在21:42
@JosephDoggie那么，永远支持什么操作系统？甚至Linux发行版都有EOL。每个软件版本都有支持时间。
–磁控管
20-2-13在19:22
@Magnetron Windows 7支持到2023年。
–相互链接
20-2-16在0:47
对最终用户的@InterLinked支持于上个月结束。额外的3年仅适用于付费企业客户。
– iBug说恢复莫妮卡
20-2-16在3:01
@iBugisdisappointedinSE所以Microsoft希望您相信
–相互链接
20-2-16在13:20
#2 楼
编辑：现在已修复当您编写“我们将弃用TLS 1.0和1.1”时，您是说它们在下周后将不再工作吗？
从您的下句话看来，这是这样，但这是令我感到困惑的是，因为根据我的经验，在编程领域这不是“弃用”的含义：
软件弃用
尽管软件中仍然保留了弃用的软件功能，但使用它可能会引起警告推荐替代做法的消息；弃用状态也可能表示该功能将来会被删除。不推荐使用功能，而不是立即删除功能，以提供向后兼容性，并为程序员提供时间使受影响的代码符合新标准。
来自https://en.wikipedia.org/wiki/弃用，并且来自https://zh.wiktionary.org/wiki/deprecate（重点是我的）：
（可传递，主要是计算）声明过时；针对仍然有效但已被替换的功能，技术，命令等进行推荐。
评论
在这种情况下，这意味着将它们删除，是的-不推荐使用TLS 1.2，所有受支持的客户端都支持TLS 1.2。事实证明，我们昨晚也发现了非SNI证书传递中的错误，这意味着自12月24日以来，非SNI客户端（与TLS <1.2支持有很多重叠）没有获得有效的证书。虽然我们已经在与Fastly合作来修复该证书API，但它也使我们更加自信：此更改将产生很小的影响。
–尼克·克拉弗♦
20-2-6在11:18
@NickCraver然后，我强烈建议您更改措辞。那不是“过时”的意思。我建议使用“我们将删除对TLS 1.0和1.1的支持”一词。
– Federico Poloni
20-2-6在11:20
很公平！完成:)
–尼克·克拉弗♦
20-2-6在11:22
问答式的讨论很奇怪，因为我不确定是否对此+1。我的意思是，这是一个很好的观察结果，通常情况下，这很容易+1。除非现在已修复，否则它并没有真正为读者提供价值。但是当前的系统向做出积极贡献的答覆者提供代表，并且似乎仅由于他们的贡献可立即采取行动，似乎该答应者不应该得到较少的代表。但是，这本来可以是评论，但无论如何都不会给出代表。但是，那首先是一致的吗？
–纳特
20-2-6在13:49
@Nat我认为您对此事考虑过；）
–万千
20-2-6在14:11
@Nat在我看来，使用Q＆A风格的系统发布公告是很奇怪的，并且征求有关公告的问题以作为答案发布（大概由SE工作人员在评论中回答）。感觉就像向后使用系统。 （另请参见：狗食，内部平台效应。）
– Federico Poloni
20-2-6在14:20
@Federico Poloni-我同意你的看法。这是对问答格式的误用，对其他网站来说是一个不好的例子。恕我直言，最好是meta与所有其他网站的格式略有不同。
–LawrenceC
20-2-6在21:30
老实说，元数据的问答格式通常是不合适的。只是锤子很容易获得。
–史蒂夫·贝内特（Steve Bennett）
20-2-11的1:34
@SteveBennett：差不多。我在决定让元站点使用与主站点问答站点相同的框架方面遇到问题，但这是一个更大的问题，与该特定问题并没有真正的关系。
– V2Blast
20-2-11在20:30
是的，Meta网站应该转换为传统的phpBB风格的线程论坛线程；它会好得多;-)
– TylerH
20-2-12在14:57
这本来可以是1句话的评论。
–马特K
20-2-12在15:38
在某种程度上，TLS 1.0和1.1分别在2006年和2008年被弃用。尽管以另一种方式，一旦行业开始确定删除日期，它们便被弃用-2018年10月，微软，谷歌和苹果在浏览器中弃用了它们（计划在2020年完全删除）。
–胸骨
20-2-17在0:51
感谢您指出弃用并不能消除。最近，我已经看到越来越多的此类草率用法的示例。技术术语具有特定含义是有原因的。
–烧烤
20-2-17在13:50
#3 楼
运行Immuniweb.com安全测试会抱怨（缩写版）：问题是已配置TLSv1.1和TLSv1.0启用TLS_RSA_WITH_3DES_EDE_CBC_SHA，不符合PCI DSS要求。特别是，该测试抱怨支持TLSv1.0，并且缺少对TLSv1.3的支持。另外它还说：“网站的HTTP版本不会重定向到HTTPS版本。我们建议启用重定向。”。您可能知道这一点，但最新的准则是：SP 800-52修订2：“选择，配置和使用传输层安全性（TLS）实施指南”。尽管进行了端到端加密，仍可运行；但是很贵尽管有开销，但除非您只是希望没有问题，否则流量检查是必需的。还有一些Data Loss Prevention设备可以检测个人信息，密码文件和其他敏感数据的盗用；并在通过电线之前将其阻止。
您迁移到TLS 1.2及更高版本是值得欢迎的，我们不想让您失望几天或烦恼（警告？ ）的去年再次被黑客入侵。感谢您保持领先地位。
#4 楼
在座的并不是每个人都是程序员或技术专家，在我网上看到的这对我来说仍然是技术庞然大物。有人可以简单说明一下此更改的确切含义以及为什么如此重要吗？评论
想象一下一个古老的小屋。逐渐增加了房间，直到它成为一栋带有新主入口的豪宅，并将棚屋的门重新分配为仆人入口。大门上有先进的锁。但是每个人都忘记了旧的侧门和古董锁。它可以工作，但不会阻止一个精明的小偷。而且，除了那小小的老奶奶之外，没有人再使用侧门了。
–阿玛丹
20-2-12在4:13
居民决定用砖砌旧门。这将使每个人都不必担心盗窃，恶作剧的人再也没有敲门的机会了，而奶奶将只好最终适应新的钥匙。他们还告诉所有人这也是一件好事，因为有些人决定在房子里换个新门面，但又忘了问人们是否可以这样做，这是一件令人毛骨悚然的事。
–阿玛丹
20-2-12在4:14
@Amadan所以这个想法是要彻底清除破旧的入口吗？似乎无害。有什么收获？
–DonielF
20-2-12在4:14
问题是祖母-或，如cnst所建议的严重否定的答案那样，拥有只能使用旧协议的旧设备的用户。他们必须适应，否则将无法再访问Stack Exchange。但是，它们很少，以至于Stack Exchange不愿意为能够使用旧硬件而支付安全，维护等费用。
–阿玛丹
20-2-12在4:22
一个简单的答案是：如果使用TLS的级别低于1.2，则就像没有狗时安装狗窝一样。视频演示：“观看防盗器给狗零食，然后使用狗狗门闯入家中”。
–Rob
20-2-12在4:54
另一个示例是浏览器支持。 SE不再支持Internet Explorer，即使人们仍在使用它。因此，那些使用它的人将无法正确使用SE。如果使用TLS，那些拥有旧设备的人根本无法连接，但是想法几乎是相同的。没有必要为很少的人付出很多努力。
–影子向导正在接种疫苗
20-2-12在7:52
本质上是“不要使用真正的旧式不安全浏览器”如果您在SE支持列表中，则应该没问题。
–游侠怪胎♦
20-2-13在11:18
在这个比喻中，“不同于新的主要入口，侧门可通轮椅”是否算在内？
–达米安·耶里克（Damian Yerrick）
20-2-13在18:12
#5 楼
这是一个非常糟糕的主意，遵循的趋势是基于对协议工作原理的常见误解，并破坏了健壮性和互操作性的价值（也称为Postel定律）。浏览器供应商宣布将在2020年淘汰对TLSv1.0和TLSv1.1的支持。人们经常提到删除TLSv1.0是为了避免降级攻击。但是，如果受支持的浏览器不支持低于TLSv1.2的任何内容，那么它们就没有降级的可能，因此，似乎也没有充分的理由取消对网站的支持。
此更改意味着，出于充分的理由，将无法再从较旧的iPad，iPhone，Android和webOS设备查看您的媒体资源。请记住，这些设备具有千兆字节的存储空间和每个设备数百兆的内存，不是一些没有处理能力来执行常见任务的过时设备，这些功能非常强大的设备已被废弃他们的供应商。这将导致相当大范围的有效链接失效（Google的搜索结果将不再起作用），并且将扩大没有资源购买最新平板电脑，手机和其他小工具的人们之间的数字鸿沟。您正在有效地代表Apple和其他供应商进行计划中的过时经纪活动，从而弃用了功能非常强大的设备，从而为全球变暖做出了贡献，每个设备都具有GB的存储空间和MB的RAM，它们仍然完全能够执行复杂的计算任务。
SSL Labs评级为B。0.6％的访问者中只有三分之一需要TLSv1.0。您基本上是在告诉我们，您完全拒绝只有几百万个实际用户访问您的网站，因此您希望在无意义的范围内获得更好的评级。这是真的吗？这就是我们的行业吗？
请考虑改为执行以下操作：
重新获得完整的HTTP访问权限。有了HSTS策略，所有受支持的浏览器都不会注意到HTTP支持甚至可用。使用HSTS（已在Stack Overflow上使用），将所有
http://链接都视为https://，因此，对于任何受支持的浏览器都没有有效的区别，但是可能没有最近的https支持的旧设备仍然可以查看该站点。 （对于新访问者，您要做的就是从HTTP站点到HTTPS站点有一个不可见的像素，它将自动安装HSTS策略，并且不会通过HTTP发出进一步的请求；这很简单，可以无缝地完成同时支持旧版浏览器和现代浏览器。）不要禁用TLSv1.0（并且没有人关心TLSv1.1，因为几乎没有支持TLSv1.1的东西都不支持TLSv1.2）。即使可以使用HTTP访问，但由于不支持TLSv1.2，不支持TLSv1.2的浏览器将无法跟踪现有的
https://链接，从而导致链接失效。 （如果担心使用TLSv1.0会破坏证书，那么将TLSv1.0和TLSv1.2流量转移到各自具有不同证书，服务于不同内容的不同服务器上，而不会影响仅TLSv1.2的客户端是相当简单的以任何否定的方式；如果TLSv1.0某种程度上被认为不安全，甚至比纯HTTP更差，那么对于这样的仅使用TLSv1.0的旧客户端，它也是从HTTPS重定向回HTTP的一种选择，以便不链接腐烂。）评论
评论不作进一步讨论；此对话已移至聊天。
–游侠怪胎♦
20-2-10在18:22
那不是链接腐烂。禁用TLS 1.0和1.1后，链接仍然可以使用，您只需要使用能够访问它们的设备即可。您以链接腐烂为例，就像说房子里的灯将不再工作，因为您无法再通过前门来打开电灯开关。
– TylerH
20-2-12在15:00
@TylerH比较起来就像房子仍然有灯光，但是您无法在地图上找到它-那么它可能不存在。
–cnst
20-2-13在1:31
@cnst比较起来实际上不那么准确。
– TylerH
20-2-13在14:12
评论
感谢您提前通知社区进行更改;-)您会（或会）拥有一个故障转移页面，该页面将显示“升级您的浏览器”消息到停留在1.0或1.1上的任何浏览器吗？
@Robotnik不，不是这种情况。不是因为我们懒惰，而是因为它无济于事。古老客户端的失败场景是他们无法连接，因此他们永远无法看到这样的页面。在交换任何Web流量之前，这是在协商的早期进行的。
@NickCraver，但目前您同时支持。为什么不通过发送到单独的后备来代替旧tls的处理？
@Qwerity让我来回谈一下：为什么该方法可以工作并维护它？还有多长时间？注意：我们必须向人们解释为什么仍启用该功能，等等。保持启用状态并非零成本。据我们所知，它并没有影响实际用户，这有什么好处？任何依靠这种古老道路的机器人或用户都不会得到他们想要的东西，那么为什么还要花些时间花些时间呢？我们只是有限的时间和资源（像大多数人一样），因此维护旧的，几乎完全未使用的，不安全的基础架构并不是强制使用这些资源的事情。
几乎所有关注并运行站点的人都已过时或正在删除TLS 1.0和1.1兼容性。如果有人使用的旧浏览器无法处理该问题，则将在他们访问的大多数网站上将其屏蔽。 Stack Exchange将是他们的后顾之忧。
对于那些不到0.6％的贫困人口不到三分之一的客户，我不知道他们会转向哪个网站寻求帮助，以了解为什么他们不再能够连接到Stack Exchange。
@Robotnik大多数使用弱密码的流量都是试图利用漏洞的机器人。如果实际用户使用的设备无法使用当前的SSL密码，则他们很可能无法立即升级它们。维护故障转移页面根本无法获得任何有用的结果。
我欢迎这种变化！ TLS 1.0和1.1应该早就被放弃了。
@ user1751825家庭成员。不是因为无法到达要询问的地点，而是因为无论如何这些人都会询问家人。
如果故障转移页面（只有故障转移页面）是纯HTTP，则“无法达到警告”问题将不会成为问题。另外，我对假设世界落后TLS <1.2的背后原因很感兴趣，因为我拥有Nintendo 3DS（仍受官方支持的手持设备），并且根据官方文档，浏览器仅支持TLS 1.0。当然，我不认为我会在Nintendo 3DS上浏览SO，但我不明白为什么应该阻止我这样做。
@BACON-也许是quora.com？这就是大多数在Stack Exchange上搜索文字问题标题的结果，最终导致从搜索选项中排除SE甚至是Google。
@LuisMachuca根据官方文档，甚至Nintendo 3DS（旧和新修订版）也支持TLS 1.2：en-americas-support.nintendo.com/app/answers/detail/a_id/13802/…
...恩，我说的是TLS 1.0，甚至是Wikipedia都支持它，但是可以，在我自己的控制台上进行的测试表明支持TLS 1.2。一定是一个坚定的升级，没有太多的灯光秀。
@Robotnik故障转移将与删除较旧的TLS版本背道而驰...攻击者始终将自己表示为仅支持您在Web服务器中允许的最低安全密码的旧浏览器。唯一安全的选择是完全禁止不安全的通信。