Aktivieren von TLS 1.2 auf Clients

Gilt für: Konfigurations-Manager (aktueller Branch)

Wenn Sie TLS 1.2 für Ihre Konfigurations-Manager-Umgebung aktivieren, stellen Sie sicher, dass die Clients in der Lage und ordnungsgemäß konfiguriert sind, TLS 1.2 zu verwenden, bevor Sie TLS 1.2 aktivieren. Deaktivieren Sie die älteren Protokolle auf den Standortservern und Remotestandortsystemen.

Es gibt drei Aufgaben zum Aktivieren von TLS 1.2 auf Clients:

• Windows und WinHTTP aktualisieren
• Sicherstellen, dass TLS 1.2 als Protokoll für SChannel auf Betriebssystemebene aktiviert ist
• .NET Framework zur Unterstützung von TLS 1.2 aktualisieren und konfigurieren

Weitere Informationen zu Abhängigkeiten für bestimmte Konfigurations-Manager- Funktionen und -Szenarien finden Sie unter Informationen zum Aktivieren von TLS 1.2.

Windows und WinHTTP aktualisieren

Windows 8.1, Windows Server 2012 R2, Windows 10, Windows Server 2016 und höhere Versionen von Windows unterstützen nativ TLS 1.2 für die Clientserverkommunikation über WinHTTP.

Bei frühere Versionen von Windows, z. B. Windows 7 oder Windows Server 2012 ist TLS 1.1 oder TLS 1.2 nicht standardmäßig für sichere Kommunikationen mit WinHTTP aktiviert. Installieren Sie für diese früheren Versionen von Windows Update 3140245 , um den folgenden Registrierungswert zu aktivieren, den Sie so festlegen können, dass TLS 1.1 und TLS 1.2 zur standardmäßigen Liste der sicheren Protokolle für WinHTTP hinzugefügt werden. Erstellen Sie nach der Installation des Updates die folgenden Registrierungswerte:

Überprüfen Sie den Wert der Registrierungseinstellung DefaultSecureProtocols, z. B.:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0

Wenn Sie diesen Wert ändern, starten Sie den Computer neu.

Dieses Beispiel zeigt den Wert für 0xAA0 die WinHTTP-Einstellung DefaultSecureProtocols . Update zum Aktivieren von TLS 1.1 und TLS 1.2 als Standardsicherheitsprotokolle in WinHTTP unter Windows listet den Hexadezimalwert für jedes Protokoll auf. In Windows ist dieser Wert standardmäßig 0x0A0, um SSL 3.0 und TLS 1.0 für WinHTTP zu aktivieren. Im vorherigen Beispiel werden diese Standardwerte beibehalten und auch TLS 1.1 und TLS 1.2 für WinHTTP aktiviert. Durch diese Konfiguration wird sichergestellt, dass die Änderung keine andere Anwendung unterbricht, die möglicherweise weiterhin SSL 3.0 oder TLS 1.0 verwendet. Sie können den Wert von 0xA00 verwenden, um nur TLS 1.1 und TLS 1.2 zu aktivieren. Konfigurations-Manager unterstützt das sicherste Protokoll, das Windows zwischen beiden Geräten aushandelt.

Wenn Sie SSL 3.0 und TLS 1.0 vollständig deaktivieren möchten, verwenden Sie die Einstellung für deaktivierte SChannel-Protokolle unter Windows. Weitere Informationen finden Sie unter Einschränken der Verwendung bestimmter kryptografischer Algorithmen und Protokolle in Schannel.dll.

Sicherstellen, dass TLS 1.2 als Protokoll für SChannel auf Betriebssystemebene aktiviert ist

Die Protokollnutzung wird größtenteils auf drei Ebenen gesteuert: der Betriebssystemebene, der Framework- oder Plattformebene und der Anwendungsebene. TLS 1.2 ist standardmäßig auf Betriebssystemebene aktiviert. Nachdem Sie sichergestellt haben, dass die .NET-Registrierungswerte auf die Aktivierung von TLS 1.2 festgelegt sind und die Umgebung TLS 1.2 im Netzwerk ordnungsgemäß verwendet, sollten Sie den SChannel\Protocols Registrierungsschlüssel bearbeiten, um die älteren, weniger sicheren Protokolle zu deaktivieren. Weitere Informationen zum Deaktivieren von TLS 1.0 und 1.1 finden Sie unter Konfigurieren von Schannel-Protokollen in der Windows-Registrierung.

.NET Framework zur Unterstützung von TLS 1.2 aktualisieren und konfigurieren

Ermitteln der .NET-Version

Ermitteln Sie zunächst die installierten .NET-Versionen. Weitere Informationen finden Sie unter So stellen Sie fest, welche Versionen und Service Packs von .NET Framework installiert sind.

.NET-Updates installieren

Installieren Sie die .NET-Updates, damit Sie starke Kryptografie aktivieren können. Einige Versionen von .NET Framework benötigen möglicherweise Updates, um starke Kryptografie zu ermöglichen. Nutzen Sie diese Richtlinien:

• .NET Framework 4.6.2 und höher unterstützen TLS 1.1 und TLS 1.2. Bestätigen Sie die Registrierungseinstellungen, nehmen Sie jedoch keine weiteren Änderungen vor.

  Hinweis

  Ab Version 2107 erfordert Konfigurations-Manager Microsoft .NET Framework Version 4.6.2 für Standortserver, bestimmte Standortsysteme, Clients und die Konsole. Installieren Sie, wenn möglich, in Ihrer Umgebung die neueste Version von .NET, Version 4.8.

• Aktualisieren Sie .NET Framework 4.6 und frühere Versionen, um TLS 1.1 und TLS 1.2 zu unterstützen. Weitere Informationen finden Sie unter .NET Framework – Versionen und Abhängigkeiten.

• Wenn Sie .NET Framework 4.5.1 oder 4.5.2 unter Windows 8.1, Windows Server 2012 R2 oder Windows Server 2012 verwenden, empfiehlt Microsoft, die neuesten Sicherheitsupdates für .NET Framework 4.5.1 und 4.5.2 zu installieren, um sicherzustellen, dass TLS 1.2 aktiviert werden kann ordnungsgemäß.

  Zu Ihrer Information: TLS 1.2 wurde erstmals in .NET Framework 4.5.1 und 4.5.2 mit den folgenden Hotfixrollups eingeführt:

  • Für Windows 8.1 und Server 2012 R2: Hotfixrollup 3099842
  • Für Windows Server 2012: Hotfixrollup 3099844

Konfigurieren für starke Kryptografie

Konfigurieren Sie .NET Framework für die Unterstützung starker Kryptografie. Legen Sie die SchUseStrongCrypto Registrierungseinstellung auf fest.DWORD:00000001 Dieser Wert deaktiviert die RC4-Stromverschlüsselung und erfordert einen Neustart. Weitere Informationen zu dieser Einstellung finden Sie unter Microsoft-Sicherheitsempfehlung 296038.

Stellen Sie sicher, dass Sie die folgenden Registrierungsschlüssel auf jedem Computer festlegen, der über das Netzwerk mit einem TLS 1.2-fähigen System kommuniziert. Dies sind beispielsweise Konfigurations-Manager Clients, Remotestandortsystemrollen, die nicht auf dem Standortserver installiert sind, und der Standortserver selbst.

Aktualisieren Sie die folgenden Unterschlüsselwerte für 32-Bit-Anwendungen, die auf 32-Bit-Betriebssystemen ausgeführt werden, und für 64-Bit-Anwendungen, die auf 64-Bit-Betriebssystemen ausgeführt werden:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Aktualisieren Sie die folgenden Unterschlüsselwerte für 32-Bit-Anwendungen, die auf 64-Bit-Betriebssystemen ausgeführt werden:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Verwandte Inhalte

• Aktivieren von TLS 1.2 auf Siteservern und Remotesitesystemen
• Häufige Probleme beim Aktivieren von TLS 1.2