WebAdmin and user portal TLS v1.0

I can't say for sure since we installed a couple updates between scans.  We're on 9.313-3 now and are going to update to 9.315-2 soon.  I will re-scan after updating and see if the issue pops up again.

I've opened a case with Sophos Support to ask if they have done some other remediation in the code that makes TLSv1 safe now.  I'll report back.

Cheers - Bob

I ran another PCI scan after installing 9.315-2 and the scan passed.  However, I don't know if it's because Sophos fixed the TLS 1.0 issue, or because the updates didn't change the conf files I modified.  Thanks for checking with Sophos.

Thank you for following up with Sophos.

Bob,

I too have followed up with Sophos: (see * below)

Your a nice guy and a patient guy. I am a busy guy and I, long ago lost my patience with these clowns. Make no mistake, they are clowns.

You kindly indicate that this should still be listed as a "bug". Me, I say it is another poster child case for how far these guys have their heads up their backsides. 

This is a SECURITY device, before anything else. And yet, sadly, you can't disable TLSv1 without jumping through command line hoops and then doing it again every time firmware is updated.

*I have been told to "vote for it" as a feature on the blog, as it (disabling TLSv1, or adding a toggle in the GUI) is not on the "roadmap". Laughable.

You see TLSv1, or for that matter IKEv2, or Anti-Replay, etc., don't factor into this years Magic Quadrant award.  Therefore, said corporate clowns don't care about it either and it is not on their precious "roadmap" that comes before all else. Sophos is not about real world security, it is about selling products by winning useless awards and impressing clueless IT buyers with bullet points and finely crafted messaging. 

So - I have maybe a dozen sites that are required to be PCI compliant, but they can't pass a scan, so they pay the fines instead, or we spend COUNTLESS hours writing letters contesting the failed scans, or re-applying fixes after every firmware update. Yeah, that is the "secure" way to fly.

Sophos can't find their way to put a SSL/TLS version checkboxes or sliders in the security settings. LAUGHABLE.

On the brighter side: I am having bacon for dinner [:)] YUM

Beyond ridiculous...

Hello. Did you guys find a solution to this problem?

Apparently the latest versions came with no TLSv1 in configuration file but scanner still finding the problem.

Omner, can you tell/show us explicitly what the scan sees on which port?

Cheers - Bob

HI Bob,

This is the message:

SSL/TLS Server supports TLSv1.0 - port 443/tcp over SSL

That port (443) is the one I am using for my virtual web server.

I have been checking setting in GUI or even server but not able to disable support for TLSv1.