O SNI realmente requer TLSv1 (inseguro)?

Question

Do Apache 2.4documentos:

O primeiro vhost (padrão) para hosts virtuais baseados em nome SSL deve incluir TLSv1 como um protocolo permitido, caso contrário, o Apache não aceitará as informações SNI do cliente e será como se o cliente não suportasse SNI.

Quero ter vários sites habilitados para TLS em meu servidor, cada um fornecendo um certificado diferente. Por motivos de segurança, permito apenas TLSv1.1 e TLSv1.2. Existe uma maneira segura de ativar o SNI?

Um trecho da minha configuração:

<VirtualHost *:80>
    ServerName www.example.com
    Redirect permanent / https://www.example.com/
</VirtualHost>

<VirtualHost *:443>
    ServerName www.example.com
    DocumentRoot /var/www/example.com
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3 -TLSv1
    [other SSL options]
</VirtualHost>

<VirtualHost *:80>
    ServerName www.example.org
    Redirect permanent / https://www.example.org/
</VirtualHost>

<VirtualHost *:443>
    ServerName www.example.org
    DocumentRoot /var/www/example.org
    SSLEngine on
    SSLProtocol all -SSLv2 -SSLv3 -TLSv1
    [other SSL options]
</VirtualHost>

Answer 1

O wiki está contrastando o TLSv1 com protocolos anteriores, não com protocolos posteriores. SNI funciona bem com TLSv1.1 e TLSv1.2.