しばらくまえからアナウンスのあった「はてなブログでのTLS1.0/1.1停止」ですが、12/28（月）に実施されたようです。
では具体的な設定状況はどうなっているのでしょうか。Qualys（情報セキュリティでは割と有名なセキュリティ企業です）が提供している無料のSSL Server Testを利用して確認してみましょう。
これを見るとTLS 1.2だけがサポートされていることが分かります。TLS 1.0, 1.1は当然サポート終了しています。TLS 1.3はまだサポートが開始されていません。
一応、TLS1.0, 1.1はなぜ廃止されたのか確認しておきます。今年(2020年7月)にCRYPTREC及びIPAから「TLS 暗号設定ガイドライン3.0版」が発行されました。
この資料111ページもある大作です。冒頭にはSSL/TLSのバージョンの歴史が簡潔にまとめられています。時流に合わせた改定がされており、読みやすく、よい資料ではないかと思います。
この資料の15ページ、表3によれば、SSL2.0/3.0, TLS1.0/1.1には共通するプロトコル上の脆弱性としてダウングレード攻撃（最弱の暗号アルゴリズムを強制的に使わせることができる）が可能です。またSSL2.0/3.0, TLS1.0にはCBCモード利用時に脆弱性があり、BEAST攻撃、POODLE攻撃が可能と記されています。
また「2.7 SSL/TLS の利用環境の変化」26～28ページ を読むと、RFC7525(2015年発効)で既にSSL2.0, SSL3.0 禁止、TLS1.0, TLS1.1 非推奨が記載されたこと、2019年に発行されたNIST SP-800 52rev2では米国政府が運用するサーバでのTLS1.2/1.3による実装・運用が記載されているそうです。
この資料では相互運用性の観点から、TLS1.2/1.3が実際にインターネット上の多くのサーバ・クライアント（ブラウザ）に実装されて運用されていることも確認しています。
それらの状況に基づき、この資料では、
- SSL3.0は利用禁止
- TLS1.0/1.1は特別な事情がある場合だけ当面の間利用可能
- TLS1.2/1.3の利用を推奨する
ということになっています（35～37ページ）。
TLS1.0/1.1の脆弱性は実装上のバグではなくプロトコル上の不具合であること、安全なプロトコル(1.2/1.3)が作成され、広く使われていること、RFCやNIST SP-800など世間の動きも考慮したこと、などからこのような記載になったことが分かります。
