微软废弃 SSL 3.0 后该用什么？TLS 1.2 与 TLS 1.3 协议区别及配置指导

为什么 SSL 3.0 会被彻底废弃？

虽然行业内习惯将网站安全证书统称为“SSL证书”，但从通信协议的底层演进来看，SSL（Secure Sockets Layer）架构早已不具备安全性。

1. POODLE 漏洞的致命缺陷

SSL 3.0 协议在 CBC（密码块链接）模式下的填充校验机制存在设计缺陷，即著名的 POODLE 漏洞（CVE-2014-3566，PADDING ORACLE ON DOWNGRADED LEGACY ENCRYPTION）。

中间人攻击者可以通过强制降级客户端与服务器之间的连接协议至 SSL 3.0，利用明文填充的漏洞逐步窃取 Cookie 等敏感 HTTP 报文。

2. 弱加密套件与安全降级攻击

除了 POODLE 漏洞外，SSL 3.0 及早期的 TLS 1.0/1.1 还大量依赖 RC4 算法、MD5 哈希等已经被证明不安全的加密组件。现代浏览器在检测到服务器仅响应这些旧版协议时，会直接拦截握手过程并抛出安全警告。了解整体架构升级可参阅 网站如何从HTTP更改为HTTPS?。

现代化 HTTPS 连接的核心选择：TLS 1.2 与 TLS 1.3

在目前的工程实践中，主流操作系统（Windows 10/11、Linux）与浏览器（Chrome、Firefox、Edge）均将通信协议限定在 TLS 1.2 及以上。关于不同验证级别的证书适配，可参阅 SSL证书类型怎么分?。

TLS 1.2：稳健的企业级主流协议

• 适用性： 目前兼容性最强的协议版本，覆盖了 99% 以上的现役客户端与老旧系统设备；
• 安全性： 引入了对 SHA-256 及以上散列算法的支持，摒弃了传统的 MD5/SHA-1 组合；同时支持 AES-GCM 等 AEAD（关联数据的认证加密）模式，大幅提升了对握手截获的防御能力；
• 前向安全性： 广泛采用 ECDHE 密钥交换算法，确保即使服务端私钥泄露，历史加密通信也无法被批量解密。

TLS 1.3：极致性能与高强度的下一代标准

• 1-RTT 极速握手： TLS 1.2 的完整握手通常需要 2 个往返延时（2 RTT），而 TLS 1.3 将密钥协商与握手过程合并，仅需 1 RTT 即可完成加密通道构建；对于重复连接，甚至支持 0-RTT（早期数据发包）；
• 彻底裁剪过时特性： 移除了静态 RSA 密钥交换、CBC 模式分组密码、RC4 算法以及弱 DH 组，仅保留了少数几个经过高强度验证的加密套件（如 AES-128-GCM、CHACHA20-POLY1305）；
• 握手过程全面加密： 从 TLS 1.3 开始，握手阶段除了基本的 ServerHello 消息外，其余证书传输与扩展字段均进行了加密，极大提升了对传输监听的防篡改能力。

选型与购买部署时可参考 SSL证书选购指南。

Web 服务器协议优化策略与配置示例

在部署证书后，运维人员应主动在 Web 服务器（Nginx、Apache、IIS）的配置文件中显式指定仅开启 TLS 1.2 与 TLS 1.3，以避免潜在的降级风险。如果遇到环境加载问题，可参考 怎么安装SSL证书？。

Nginx 配置示例

在 nginx.conf 或对应的虚拟主机配置块中，将 ssl_protocols 项修改为仅允许 Modern 协议：

server {
    listen 443 ssl http2;
    server_name example.com;

    # 仅允许 TLS 1.2 和 TLS 1.3，禁用所有旧版 SSL/TLS 协议
    ssl_protocols TLSv1.2 TLSv1.3;

    # 推荐的高强度加密套件配置
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;
}

关于部署后的故障调试与环境排查，可参阅 如何修复SSL证书错误？。

从实际运维角度来看，限制服务器仅使用 TLS 1.2 及以上协议，是确保网站不被现代浏览器拒之门外的硬性要求。配合自动化 TLS 1.3 配置，不仅能提升网站 HTTPS 的安全性，还能显著降低移动网络环境下的连接延迟。

常见问题 FAQ

我的 SSL 证书本身需要支持 TLS 1.3 吗？

不需要。SSL/TLS 证书本身是基于 X.509 标准的公钥凭证，它与 TLS 1.2 或 TLS 1.3 协议无关。协议版本是由 Web 服务器（如 Nginx、Apache）与客户端浏览器在 TLS 握手阶段协商决定的，任何有效的 SSL 证书均可无缝运行在 TLS 1.3 协议上。

如果关闭了 TLS 1.0 和 TLS 1.1，会对哪些老旧用户造成影响？

主要会影响极少数历史遗留系统，例如 Windows XP/Vista 上的 IE 浏览器、Android 4.3 及更早版本的安卓设备，或者未升级 OpenSSL 库的旧版 API 客户端。对于主流的现代设备，关闭旧版协议不会产生任何影响。

如何在 Linux 终端验证我的服务器是否成功禁用了 SSL 3.0 和 TLS 1.0？

可以使用 OpenSSL 命令指定协议强制测试：openssl s_client -connect example.com:443 -tls1。如果服务器配置正确，终端应直接返回握手失败（Handshake Failure），证明旧版协议已被成功拦截。