The absence of TLS 1.1 and 1.2 on the Internet is suddenly in the news. <div><br></div><div>This Friday in Buenos Aires: <a href="http://ekoparty.org/2011/juliano-rizzo.php">http://ekoparty.org/2011/juliano-rizzo.php</a></div>
<div><br></div><div>"<span class="Apple-style-span" style="font-family: Helvetica, 'Helvetica Neue', Arial, sans-serif; line-height: 19px; background-color: rgb(255, 255, 255);">We present a new fast block-wise chosen-plaintext attack against SSL/TLS. We also describe one application of the attack that allows an adversary to efficiently decrypt and obtain authentication tokens and cookies from HTTPS requests. Our exploit abuses a vulnerability present in the SSL/TLS implementation of major Web browsers at the time of writing.</span>"</div>
<div><br></div><div>I'm not sure why, but other reports on this state that the problem is not present in TLS 1.1 or 1.2.</div><div><br></div><div>LJS</div><div><br><div class="gmail_quote">On Mon, Aug 22, 2011 at 12:58 PM, Ivan Ristic <span dir="ltr"><<a href="mailto:ivan.ristic@gmail.com">ivan.ristic@gmail.com</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">The most recent results are from April 2011:<br>
<br>
<a href="http://blog.ivanristic.com/2011/04/fresh-internet-ssl-survey-results-april-2011-available.html" target="_blank">http://blog.ivanristic.com/2011/04/fresh-internet-ssl-survey-results-april-2011-available.html</a><br>

<br>
Protocol analysis is on slide 30. Of course, little changed from 2010,<br>
the support for TLS 1.1 and TLS 1.2 is virtually non-existent.<br>
<br>
<br>
On Mon, Aug 22, 2011 at 9:47 AM, Peter Gutmann<br>
<<a href="mailto:pgut001@cs.auckland.ac.nz">pgut001@cs.auckland.ac.nz</a>> wrote:<br>
> Erwann ABALEA <<a href="mailto:erwann@abalea.com">erwann@abalea.com</a>> writes:<br>
><br>
>>SSLLabs from Qualys gives a rating of your website SSL configuration, after<br>
>>some tests. It can also detect TLS1.1/1.2, and detect a bogus answer to a<br>
>>nonexistent TLS version (3.99).<br>
><br>
> Ahh, good point.  The last figures they published were for Black Hat 2010, for<br>
> which there were a few hundred TLS 1.1 servers and effectively zero TLS 1.2<br>
> servers (less than a dozen, probably most or even all test servers run by<br>
> various vendors).  OTOH since both TLS 1.1 and 1.2 have been around for years<br>
> the BH'10 figures are probably still pretty representative.<br>
><br>
> Peter.<br>
><br>
<font color="#888888"><br>
<br>
<br>
--<br>
Ivan Ristić<br>
</font></blockquote></div><br></div>