Рукопожатие TLS 1.2 передаёт сертификаты в открытом виде, согласует обмен ключами через название набора шифров, а в режиме статического RSA не обеспечивает прямой секретности. Безопасная конфигурация — это ECDHE (или DHE) с наборами AEAD, расширенный мастер-секрет (extended master secret, RFC 7627), renegotiation_info и подписи с SHA-256 или более стойким хешем, как рекомендует RFC 9325. RFC 9846 (июль 2026 года) заменяет RFC 5246 и устанавливает новые требования к реализациям TLS 1.2.
За время существования TLS 1.2 атаки были направлены на необязательные или устаревшие возможности: BEAST и Lucky Thirteen (CBC), статистические смещения RC4, атака тройного рукопожатия (triple handshake; её устраняет расширенный мастер-секрет), Logjam и FREAK (ключи экспортного уровня), ROBOT (передача ключа с помощью RSA) и SWEET32 (64-битные блочные шифры). Ни одна из них не взламывает соединение TLS 1.2, в котором разрешены только ECDHE и AEAD.
Если без этого не обойтись, оставьте TLS 1.2 включённым для старых клиентов наряду с 1.3; постквантовый гибридный обмен ключами есть только в TLS 1.3, поэтому соединения, которые откатываются на 1.2, защищены только классической криптографией.