Provider schalten TLS 1.0 und 1.1 ab

[Harry Stahl]

Hallo Zusammen,

heute habe ich eine Mail von meinem Provider bekommen:


Deaktivierung von TLS 1.0 und 1.1 ab dem 02.06.2021

über TLS wird der Datenverkehr zwischen E-Mail-Programm und E-Mail-Server verschlüsselt. Das TLS-Protokoll wird durch die Veröffentlichung neuer Versionen ständig verbessert, vor allem wenn in den alten Versionen Schwachstellen gefunden werden.

TLS 1.0 und 1.1 sind veraltete Protokolle, die moderne kryptographische Algorithmen nicht unterstützen. Sie enthalten Sicherheitslücken, die von Angreifern ausgenutzt werden können.

Veraltete E-Mail-Programme und Geräte nutzen häufig noch TLS 1.0 oder 1.1. Aktuelle Versionen aller gängigen E-Mail-Programme unterstützen hingegen automatisch sichere TLS Versionen, wie 1.2 und 1.3.

Um eine sichere E-Mail-Kommunikation zu gewährleisten, beenden wir die Unterstützung von TLS 1.0 und 1.1 ab dem 02.06.2021 nach und nach für die verschiedenen E-Mail-Protokolle IMAP, POP3 und SMTP.

Frage: Soweit ich weiß gibt es noch nichts neues für Indy, womit TLS 1.2 oder 1.3 unterstützt wird, oder?

Ganz nebenbei frage ich mich, ob mein Galaxy 7 Handy von Samsung diese Anforderungen erfüllen kann, also ob ich mir dann gleich ein neues Handy kaufen muss, will ich mobil Mails empfangen...

[himitsu]

Altes Handy mit altem Android.

Es kommt drauf an, genauso wie im Windows.


Wenn das Programm Systemfunktionen nutzt und das System kann es nicht, dann bist'e am Arsch.

Oder das Programm macht es selber (ala Indy), dann ist es egal welches Handy/Android (so lange das Programm darauf noch läuft).

[Daniel]

Es ist ja nicht die Hardware, die TLS 1.2 oder später unterstützen muss, sondern die Software.
Android beispielsweise tut dies seit Version 4.4.4, die im September 2013 veröffentlicht wurde.

Die aktuellen Indy-Komponenten unterstützen TLS 1.2 ebenfalls, spätestens seit Version 10.6, welche im Juni 2016 (!) aktuell war.

[bcvs]

Das Thema interessiert mich auch.

Ich nutze den OneClickForApplication-Webservice (1C4A) der Deutschen Post über SOAP Requests. Jetzt hat mir die Post auch geschrieben, dass TLS 1.1 demnächst abgeschaltet wird.

Ich nutze in dem Projekt noch Delphi 2007 und den SOAPHTTPClient von Delphi. Wie kriege ich denn jetzt raus, welches TLS da verwendet wird?

[philipp.hofmann]

Für Indy nutze ich jetzt die folgende Komponente für TLS 1.2 (auf das Form gelegt):

object IdSSLIOHandlerSocketOpenSSL: TIdSSLIOHandlerSocketOpenSSL
MaxLineAction = maException
Port = 0
DefaultPort = 0
SSLOptions.Method = sslvTLSv1_2
SSLOptions.SSLVersions = [sslvTLSv1_2]
SSLOptions.Mode = sslmUnassigned
SSLOptions.VerifyMode = []
SSLOptions.VerifyDepth = 0
Left = 920
Top = 216
end

Ich muss nur noch durchtesten, ob die sharedLibraries damit auf allen OS klar kommen.

[Delami]

Gibt übrigens eine function IsOpenSSL_TLSv1_2_Available...
Ab MacOS High Sierra ist OpenSSL/TLSv1_2 kein Problem.
Für Sierra und früher geht nur NetHTTP oder Libraries mitliefern.

[himitsu]

Wenn ich mich richtig erinnere, dann wird das SSL für Indy eh schon 'ne Weile von Anderen betreut, nicht direkt vom IndyProject.
Auch wenn fulgan Indy nicht mehr hostet, so ist SSL noch dort zu finden.
https://indy.fulgan.com/SSL/Archive/

OpenSSL Indy Delphi
https://www.indyproject.org/download/ssl/

[mezen]

Die OpenSSL Binaries werden nicht mehr aktuell bei fulgan gehostet, sondern wurden nach GitHub verschoben: IndySockets / OpenSSL-Binaries.
Der mitgelieferte OpenSSL IO Handler unterstützt OpenSSL 1.0.2 und TLS 1.2, allerdings ist imho per default nur TLS 1.0 aktiviert. Dafür einfach das Set unter SSLOptions.SSLVersions = [sslvTLSv1_2] entsprechend setzen. SSLOptions.Method ist noch Überrest aus Indy 9 und sollte ignoriert werden.

Ich hab bereits einen neuen OpenSSL IO Handler für Indy geschrieben, welcher das aktuellste OpenSSL 1.1.1 und TLS 1.3 unterstützt. Siehe dazu den GitHub PR #299 bzw meinen Forum Post.

[Rolf Frei]

Zitat von bcvs:

Das Thema interessiert mich auch.

Ich nutze den OneClickForApplication-Webservice (1C4A) der Deutschen Post über SOAP Requests. Jetzt hat mir die Post auch geschrieben, dass TLS 1.1 demnächst abgeschaltet wird.

Ich nutze in dem Projekt noch Delphi 2007 und den SOAPHTTPClient von Delphi. Wie kriege ich denn jetzt raus, welches TLS da verwendet wird?

In Delphi 7 (und vermutlich D2007) läuft das mit SOAP so:
Wenn du das unter Windows laufen hast wird das Betriebsystem für die Datenübermittlung verwendet. Indy kommt da nur unter Linux zum Zug und das glaube ich auch nur in D7. Daher sollte das auf Windows eigentlich kein Problem sein. Wie es allerdings mit D2007 aussieht weiss ich nicht, aber ich denke da wird das auch noch wie in D7 mit den Betriebsysstemfunktionen gemacht. Ein 100%ig sichere Antwort kann ich dir aber auch nicht geben.

[bcvs]

Jetzt habe ich mir mal den Quellcode von SOAPHttpClient und SOAPHttpTrans angeschaut. Es ist wohl so, wie du vermutet hast:

Delphi-Quellcode:

{$IFDEF LINUX}
  {$DEFINE USE_INDY}
{$ENDIF}
{$IFDEF MSWINDOWS}
//  {$DEFINE USE_INDY}
{$ENDIF}

Aber gibt es denn irgendeine Möglichkeit, herauszufinden, welche TLS-Version jetzt tatsächlich verwendet wird?