Fund om TLS og certifikater kan fylde flere sider i en ekstern pentestrapport, selv om de enkelte fund ikke nødvendigvis er alvorlige. De handler om, hvordan jeres tjenester beskytter forbindelsen til brugeren: hvilke udgaver af protokollen der tillades, hvilke krypteringsindstillinger der accepteres, og om certifikaterne er gyldige og passer til navnet. Den rette prioritering afhænger af, hvad tjenesten bruges til, og af om fundet er et symptom på noget større, fx en server, ingen vedligeholder. Mange af fundene kan samles og rettes i én bevægelse.
Risikoen ved denne fundtype er dobbelt. Nogle afdelinger bruger tid på at rette lavt prioriterede indstillinger, mens alvorlige fund venter. Andre lægger hele gruppen til side og overser de få, der faktisk betyder noget.
Hvad fundene typisk handler om
TLS-fund falder i nogle få grupper, som bør læses hver for sig.
- Gamle protokoludgaver · tjenesten accepterer udgaver af TLS, der er udfaset.
- Svage krypteringsindstillinger · tjenesten tillader indstillinger, der ikke længere anbefales.
- Udløbne certifikater · certifikatet er ikke længere gyldigt.
- Certifikater, der ikke passer · navnet i certifikatet svarer ikke til det navn, brugerne bruger.
- Selvsignerede certifikater · certifikatet er ikke udstedt af en udsteder, som brugernes udstyr stoler på.
- Ukrypterede forbindelser · tjenesten kan nås uden kryptering, eller viderestiller ikke til den krypterede udgave.
Den første gruppe har et klart grundlag. RFC 8996 udfaser TLS 1.0 og 1.1 og siger, at de ikke må bruges. Et fund om disse udgaver er derfor ikke en smagssag, selv om alvorligheden for den enkelte tjeneste kan være lav.
Hvornår fundene betyder noget
Alvorligheden af et TLS-fund bestemmes af to ting: hvad forbindelsen bærer, og hvem der bruger den. Et svagt krypteret login til fjernadgangen er noget andet end en svag indstilling på en informationsside uden login.
Løft fundet, når det rammer:
- Login og fjernadgang · forbindelser, hvor brugernavne, adgangskoder eller sessioner sendes. → VPN og fjernadgangsportaler
- Persondata og betalinger · tjenester, hvor I har pligt til at beskytte oplysningerne.
- Administration · forbindelser til styring af udstyr, som slet ikke burde kunne nås udefra. → Administrationsflader på internettet
- Ukrypteret adgang til følsomme tjenester · her er der ingen beskyttelse af forbindelsen overhovedet.
Rapporten kan bruge CVSS, som FIRST står bag, til at beskrive alvorligheden. Grundscoren tager ikke højde for, hvad netop jeres tjeneste bruges til. Den vurdering skal I selv lægge oven på, og det er systemejeren, der ved, om tjenesten bærer noget, der skal beskyttes. Skriv begrundelsen ned, når I flytter et fund op eller ned.
Fundene som symptom
Et udløbet certifikat eller en udfaset protokol på en enkelt server kan være et tegn på noget andet: at serveren ikke vedligeholdes. Hvis den samme server også står med manglende opdateringer, eller hvis ingen kan sige, hvem der ejer den, er TLS-fundet den mindste del af problemet.
Se derfor på, om TLS-fundene samler sig på bestemte systemer. Et system med mange små fund er en kandidat til en grundigere gennemgang, til udfasning eller til at få en ejer. → Forældede komponenter
Udløbne certifikater kan også pege på en manglende proces. Hvis certifikater fornyes manuelt, og ingen holder øje med datoerne, vil fundet komme igen. Den varige rettelse er en fast ordning for fornyelse, gerne automatisk, og et overblik over, hvor certifikaterne bruges.
Saml rettelserne
TLS-fund er gode kandidater til at blive samlet. Indstillingerne kan styres ét sted pr. platform: på webserveren, i den omvendte proxy, på belastningsfordeleren eller i cloudtjenesten. En ændring det rette sted kan lukke mange fund på én gang. → Reverse proxy foran interne systemer
Princippet for rettelsen er at tillade de nyere udgaver og anbefalede indstillinger og fjerne resten. Det praktiske arbejde er at finde ud af, om nogen klienter stadig kræver de gamle. Det kan være ældre udstyr, integrationer med partnere eller gamle versioner af programmer. Lav en liste over dem, aftal en dato med ejerne, og fjern de gamle indstillinger, når datoen nås.
Rettelser af denne slags kan være velegnede til at blive gennemført hurtigt, når de ikke afhænger af gamle klienter. → Hurtige rettelser
Det, driften kan gøre før næste test
Meget af det, en ekstern test finder om TLS og certifikater, kan I se selv. Det gør fundene til en dårlig brug af testerens tid, hvis de går igen fra år til år. Når de er væk før testen, kan rapporten bruge pladsen på det, I ikke selv kan se.
Hold et overblik over certifikater med navn, udløbsdato, udsteder og ejer, og lad nogen få besked i god tid før udløb. Beslut en fælles standard for, hvilke protokoludgaver og indstillinger jeres tjenester tillader, og skriv den ind i den måde, nye tjenester sættes op på. Løbende scanning af jeres egne adresser kan vise afvigelser fra standarden mellem testene, uden at nogen behøver at gennemgå server for server. → Scanning mellem testene
Bed også leverandører og hostingfirmaer om at følge samme standard for de tjenester, de driver under jeres navn. Et certifikat, der udløber hos en leverandør, rammer jeres brugere på samme måde som et, der udløber hos jer selv.
Det skal I lade være med
- At rette alle TLS-fund før alvorlige fund · prioritér efter, hvad tjenesten bærer.
- At lægge hele gruppen til side · fund på login og følsomme tjenester skal løftes.
- At rette server for server · find det sted, hvor indstillingerne styres, og ret der.
- At forny et udløbet certifikat uden at ændre processen · så kommer fundet igen.
- At bevare gamle udgaver af hensyn til en ukendt klient · find klienten, og sæt en dato.
- At overse, at mange små fund på samme server er et signal · se på serverens vedligeholdelse.
Hvad kan og ikke kan konkluderes
TLS-fundene viser, hvordan tjenesterne i testen beskyttede forbindelsen til brugerne på testtidspunktet, og om certifikaterne var gyldige. De giver et konkret grundlag for at stramme indstillinger og forbedre fornyelsen af certifikater.
Fundene siger ikke noget om sikkerheden i selve tjenesten bag forbindelsen. En korrekt krypteret forbindelse til en sårbar webløsning er stadig en sårbar webløsning. Og fravær af TLS-fund betyder kun, at forbindelsen var sat ordentligt op på de adresser, der var med.
Tjekliste til TLS-fundene
- ☐ Er TLS-fundene grupperet efter type og system?
- ☐ Er fund på login, fjernadgang og følsomme tjenester løftet?
- ☐ Er det undersøgt, om fundene samler sig på systemer uden vedligeholdelse?
- ☐ Er det fundet, hvor indstillingerne styres for hver platform?
- ☐ Er klienter, der kræver gamle udgaver, identificeret og givet en dato?
- ☐ Findes der en fast ordning for fornyelse af certifikater?
- ☐ Er TLS-rettelserne placeret efter de alvorlige fund i planen?
Kilder
- RFC 8996: Deprecating TLS 1.0 and TLS 1.1: udfaser TLS 1.0 og 1.1 og fastslår, at de ikke må bruges.
- FIRST CVSS v4.0: grundscoren beskriver svagheden uafhængigt af det konkrete miljø.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Typiske fund i en ekstern test · Webserverens opsætning
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
