TLS version 1.0 och 1.1 påverkas av ett stort antal protokoll- och implementeringssårbarheter som har publicerats av säkerhetsforskare under de senaste två decennierna. Attacker som u003cstrongu003eROBOTu003c/strongu003e påverkade RSA-nyckelutbytesalgoritmen, medan u003cstrongu003eLogJamu003c/strongu003e och u003cstrongu003eWeakDHu003c/strongu003e visade att TLS servrar kan luras att använda felaktiga parametrar för andra nyckelutbytesmetoder. Genom att äventyra ett nyckelutbyte kan angripare fullständigt äventyra nätverkssäkerheten och dekryptera konversationer. TLS 1.2 and earlier, with examples including u003cstrongu003eRC4u003c/strongu003e or u003cstrongu003eCBC-modeu003c/strongu003e ciphers, are not secure.u003cbr/u003eu003cbr/u003eEven signatures were affected, with u003cstrongu003eBleichenbacher's RSA signature forgeryu003c/strongu003e attack and other similar padding attacks.u003cbr/u003eu003cbr/u003eMost av dessa attacker har mildrats i TLS 1.2 (förutsatt att TLS instanser är korrekt konfigurerade), även om TLS 1.2 is still vulnerable to u003ca rel=u0022noreferrer noopeneru0022 href=u0022https://www.ssl.com/faqs/what-are-downgrade-attacks/u0022 target=u0022_blanku0022u003edowngrade attacksu003c/au003e, such as u003cstrongu003ePOODLEu003c/strongu003e, u003cstrongu003eFREAKu003c/strongu003e, eller u003cstrongu003eCurveSwapu003c/strongu003e. Detta beror på det faktum att alla versioner av TLS protokoll före 1.3 skyddar inte handskakningsförhandlingarna (som bestämmer protokollversionen som ska användas under hela utbytet).