TLS jako protokol existuje již poměrně dlouho (1999). Proto do něj bylo hlavně v posledních letech přidáno několik vylepšení. Nejzajímavěší zde budou podrobněji popsány.

Kerberos (1999)

Krátce pro definování TLS protokolu byla přidána autentifikace pomocí šifer Kerberos. Měli sloužit k "bezpečnému" vyjednání master secret. Jejich délka byla 40 bitů. Šlo o reakci na embargo USA na dlouhé šifry. Tyto šifry by se dnes neměli používat.

Šifry AES (2002)

Koncem minulého století docházelo ke snahám o prolomení šifer DES. Tyto snahy byly s narůstajícím výpočetním výkonem celkem úspěšné (existoval komerčně úspěšný odšifrovávací stroj). Jako přechodné řešení byl zvolen TripleDES, což je vlastně DES s tím, že se šifruje třikrát. Pokud se použijí 2 různé klíče (jeden z líčů je použit 2x), je délka zabězpečení 2 x 56b = 112b. Pokud se použijí 3 různé klíče je výsledná dělka 3 x 56b = 168b. To je sice dostačující, ale šifrování třemi klíči je zbytečně výpočetně náročné.

Proto v roce 2002 vznikl standard AES. Používá algoritmus Rijndael. Je to symetrická bloková šifra s délkou bloku 128 b (oproti 64 bitům v DES). Umožňuje zvolit délku klíče 128 B, 192 B a 256 B. Do TLS byly začleněny pouze 128- a 256-bytové klíče.

TLS Extensions (2003)

Tato rozšíření jsou určená hlavně mobilním zařízením v bezdrátových sítích, které jsou omezeny hardwarově a kvalitou přopojení. Dále umožňuje přidat další bezpečnostní informace.

Jak jsou realizovány? Odesílají se během handshaku. Jsou součástí ClientHello a ServerHello (již v TLS 1.0 v nich byla specifikována nevyužitá položka právě pro Extensions).

Odeslání jména serveru

Při připojení k serveru klient odešle i jméno serveru, k němuž se chce připojit. Toto umožní výběr správného certifikátu a tedy i bezpečné připojení k serveru, na němž běží více virtuálních serverů.

Maximální délka fragmentu

Toto rošíření dovoluje TLS vyjednat menší velikost bloku record vrstvy. Toto rošíření je určeno klientům omezených velikostí paměti nebo šířkou pásma. Typicky bezdrátové sítě.

Odeslání URL místo certifikátu

Klient může míto certifikátu poslat pouze adresu, kde se nachází. Pak je nemusí mít uloženy v paměti. Pokud používá více certifikátů, může tak ušetřit velkou část svojí paměti.

Použití zkrácené MAC

Umožňuje zkrátit výstup hešovací funkce, která počítá MAC na 80b. Tím lze ušetřit šířku pásma.

Známé CA

Klient může poslat, jaké zná certifikační autority. To umožní předejít opakovaným neúspěšným handshakům.

Certificate status request

Umožní použít tzv. certificate-status protokol (např. OCSP) k ověření platnosti certifikátu serveru.

Komprese

DEFLATE (2004)

Tento algoritmus umožňuje zvolit si kompresní pomět a rychlost. Je založen na algoritmu LZ77 s Huffmanovým kódováním. Byl přidán na základě požadavků komunity kolem GnuTLS.

Lempel-Ziv-Stac (2004)

Podobný předcházejícímu. Jeho výhodou je, že jeho kompresní poměr nikdy není horší než 1:1.