Suponiendo que no estás desarrollando para Android, no tienes que preocuparte por la versión de Android.
Cualquier aplicación seria y segura como Chrome en Android utilizará TLS 1.2. Puedes verificar esto por ti mismo yendo a un sitio web seguro (¡asegúrate de que admita TLS 1.2!) e inspeccionando el certificado y el protocolo utilizado en el cliente. Yo he verificado esto en Chrome en un dispositivo Android 4.4, y utiliza TLS 1.2.
Una política de seguridad debería basarse en la versión de TLS, y no prestar atención a qué tipo de cliente lo está ejecutando. No vale la pena determinar la versión del sistema operativo de Android, porque la versión del sistema operativo de Android no es lo que finalmente determina la seguridad utilizada.
Vamos a ser meticulosos al enumerar las posibilidades.
- API de Android 20+: Todos los navegadores y aplicaciones deberían funcionar con TLS 1.2.
- API de Android 16-19: Algunos navegadores y aplicaciones funcionarán con TLS 1.2.
- API de Android 15-: Creo que no estamos discutiendo estos porque ninguna versión admite TLS 1.2.
Aquí están las opciones del servidor que creo que estamos discutiendo:
- Permites solo TLS 1.2 y no revisas la versión de Android. Se espera que funcionen todos los clientes de Android API 20+ y aquellos clientes de Android API 16-19 que utilicen aplicaciones TLS 1.2.
- Permites TLS 1.2, 1.1, 1.0 y no revisas la versión de Android. Se espera que funcionen todos los clientes de Android. El sistema es menos seguro.
- Permites solo TLS 1.2 y revisas la versión de Android. Solo los clientes de Android API 20+ pueden funcionar porque estás excluyendo API 16-19. Esto significa menos clientes compatibles que en la opción 1, sin aumento en la seguridad de TLS. Por lo tanto, esta opción no tiene sentido.
- Permites TLS 1.2, 1.1, 1.0 y revisas la versión de Android. Solo se espera que funcionen los clientes de Android API 20+ porque estás excluyendo API 16-19. Esta opción no tiene sentido porque estás haciendo que el sistema sea menos usable y menos seguro que otras opciones. Menos clientes funcionarán que bajo la opción 1, y esos clientes serán menos seguros.
Revisar la versión de Android hace que tu sistema sea compatible con menos clientes, sin aumento en la seguridad. Por lo tanto, no pierdas tiempo revisando la versión de Android.
El compromiso básico de seguridad siempre es cuán usable es un sistema versus cuán seguro es. Esto se aplica a medidas de seguridad física, suites de cifrado, versiones de TLS y más. TLS 1.1 y 1.0 no son tan seguros como TLS 1.2. Debes responder las siguientes preguntas por ti mismo:
- ¿Las vulnerabilidades presentes en TLS 1.1 y 1.0 los hacen inadecuados para tu sistema?
- ¿Valdría la pena el uso exclusivo de TLS 1.2 a cambio de que algunas personas no puedan usar tu sistema?
