Mi navegador IE tiene SSLv3.0, TLS 1.0,1.1 y 1.2 habilitado en la configuración avanzada.
Y (mi administrador del servidor me informó) mi servidor web puede cifrar datos en SSLv3.0 y TLS 1.0
Ahora, qué sistema (servidor o navegador) decide qué protocolo usar. Sé que se utiliza TLS 1.0. Pero ahora necesito saber qué sistema toma la decisión.
El servidor elige qué conjunto de cifrado usar para establecer el canal seguro.
El cliente (navegador) presenta los protocolos y algoritmos de encriptación que aceptará. El servidor elige el que considere más seguro (basado en su propia lista de protocolos aceptables) y que se utiliza para el canal seguro. Si el servidor no ve ningún conjunto de cifrado que considere adecuado, se rechazará la conexión.
Consulte Cómo funciona SSL / TLS para obtener más información.
Para complementar la respuesta de @raz, uno debe estar al tanto de Ataques de degradación de protocolo . Los navegadores como IE envían su versión máxima admitida, y luego el servidor elige (en su caso, IE dice "Sé hasta TLS 1.2" y el servidor responde con "haremos TLS 1.0"). Sin embargo, los navegadores saben que existen servidores con errores, que simplemente tendrán un ataque epiléptico cuando el cliente diga "Sé hasta TLS 1.2". Si la conexión se interrumpe, el navegador lo intentará de nuevo diciendo "Sé hasta TLS 1.1". Si falla, vuelve a intentarlo con "Sé hasta TLS 1.0". Una vez más, si falla, el cliente lo intentará nuevamente y reclamará solo el soporte SSL 3.0.
El problema con este comportamiento es que un atacante puede simplemente matar los intentos de conexión que intentan hacer algo más que SSL 3.0. Desde el punto de vista del cliente, este se verá como un servidor con errores que no puede tolerar nada más que SSL 3.0. Desde el punto de vista del servidor, esto se verá como un cliente antiguo que solo conoce SSL 3.0. El resultado neto es que el cliente y el servidor usarán SSL 3.0, aunque ambos admiten TLS 1.0.
Resumen: aunque, nominalmente, en SSL / TLS el cliente propone y el servidor elige, el comportamiento de intentar volver a intentar con una versión más baja de la mayoría de los navegadores implica que, en la práctica, el cliente propone pero el atacante elige. Lo que es desafortunado.
Esta es la razón por la que debe desactivar el soporte SSL 3.0 en su navegador.
Lea otras preguntas en las etiquetas encryption tls protocols cipher-selection