（TLS1.0無効化問題）セキュリティ上イマイチなTLS1.0/1.1は何が良くないのか？

プロトコルには脆弱性あり

最近はTLSといえば1.2ですが、未だに1.1や1.0を利用している現場もいるはず。
というのもTLS1.2に対応していないブラウザって結構あるんですよね。

たとえばGoogle Chromeで言うとバージョン29以下。
未だにそんな古いクローム使ってる人はいないと思いつつ、例えば業務システムでオフライン環境などであれば全然ありえる。

何が良くないのか？

本題ですが、このTLS1/1.1に存在する脆弱性を利用すると、クッキー情報を解読することができます。

このバグは通称名：POODLE（プードル）と呼ばれていて、正式名称はPadding Oracle On Downgraded Legacy Encryption。
要は認証情報が抜き取られるので、かなりたちが悪い。なので対策はサーバ側でそれを無効化する。

覚えておきます。