TLS 1.2 inschakelen op clients

Van toepassing op: Configuration Manager (Current Branch)

Wanneer u TLS 1.2 inschakelt voor uw Configuration Manager-omgeving, moet u er eerst voor zorgen dat de clients in staat zijn en correct zijn geconfigureerd voor het gebruik van TLS 1.2. Ga dan verder met het inschakelen van TLS 1.2 en het uitschakelen van de oudere protocollen op de siteservers en externe sitesystemen. Er zijn drie taken voor het inschakelen van TLS 1.2 op clients:

• Windows en WinHTTP bijwerken
• Zorg ervoor dat TLS 1.2 is ingeschakeld als protocol voor SChannel op het niveau van het besturingssysteem
• Werk het .NET Framework bij en configureer het om TLS 1.2 te ondersteunen

Zie TLS 1.2 inschakelen voor meer informatie over afhankelijkheden voor specifieke functies en scenario's van Configuration Manager.

Windows en WinHTTP bijwerken

Windows 8.1, Windows Server 2012 R2, Windows 10, Windows Server 2016 en nieuwere versies van Windows bieden systeemeigen ondersteuning voor TLS 1.2 voor client-servercommunicatie via WinHTTP.

In eerdere versies van Windows, zoals Windows 7 of Windows Server 2012, is TLS 1.1 of TLS 1.2 niet standaard ingeschakeld voor beveiligde communicatie via WinHTTP. Voor deze eerdere versies van Windows moet u Update 3140245 installeren om de onderstaande registerwaarde in te schakelen, die kan worden ingesteld om TLS 1.1 en TLS 1.2 toe te voegen aan de lijst met standaard beveiligde protocollen voor WinHTTP. Als de patch is geïnstalleerd, maakt u de volgende registerwaarden:

Controleer de waarde van de DefaultSecureProtocols registerinstelling, bijvoorbeeld:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0

Als u deze waarde wijzigt, start u de computer opnieuw op.

In het bovenstaande voorbeeld ziet u de waarde van 0xAA0 voor de WinHTTP-instelling DefaultSecureProtocols . Update om TLS 1.1 en TLS 1.2 in te schakelen als standaard veilige protocollen in WinHTTP in Windows vermeldt de hexadecimale waarde voor elk protocol. Standaard in Windows is 0x0A0 deze waarde het inschakelen van SSL 3.0 en TLS 1.0 voor WinHTTP. In het bovenstaande voorbeeld blijven deze standaardwaarden behouden en worden TLS 1.1 en TLS 1.2 ingeschakeld voor WinHTTP. Deze configuratie zorgt ervoor dat door de wijziging geen andere toepassingen worden beschadigd die mogelijk nog steeds vertrouwen op SSL 3.0 of TLS 1.0. U kunt de waarde van 0xA00 gebruiken om TLS 1.1 en TLS 1.2 alleen in te schakelen. Configuration Manager ondersteunt het veiligste protocol dat Windows tussen beide apparaten onderhandelt.

Als u SSL 3.0 en TLS 1.0 volledig wilt uitschakelen, gebruikt u de instelling voor uitgeschakelde SChannel-protocollen in Windows. Zie Het gebruik van bepaalde cryptografische algoritmen en protocollen in Schannel.dllbeperken voor meer informatie.

Zorg ervoor dat TLS 1.2 is ingeschakeld als protocol voor SChannel op het niveau van het besturingssysteem

Het protocolgebruik wordt voornamelijk beheerd op drie niveaus: het besturingssysteemniveau, het framework- of platformniveau en het toepassingsniveau. TLS 1.2 is standaard ingeschakeld op het niveau van het besturingssysteem. Zodra u ervoor hebt gezorgd dat de registerwaarden voor .NET TLS 1.2 zijn ingeschakeld en hebt geverifieerd dat TLS 1.2 correct wordt gebruikt in het netwerk, wilt u misschien de SChannel\Protocols registersleutel bewerken om de oudere, minder veilige protocollen uit te schakelen. Zie Schannel-protocollen configureren in het Windows-register voor meer informatie over het uitschakelen van TLS 1.0 en 1.1.

Werk het .NET Framework bij en configureer het om TLS 1.2 te ondersteunen

Versie van .NET bepalen

Bepaal eerst de geïnstalleerde .NET-versies. Raadpleeg voor meer informatie Bepalen welke versies en servicepackniveaus van .NET Framework zijn geïnstalleerd.

.Net-updates installeren

Installeer de .NET-updates, zodat u krachtige codering kunt inschakelen. Voor sommige versies van .NET Framework zijn mogelijk updates vereist om krachtige codering mogelijk te maken. Volg deze richtlijnen:

• NET Framework 4.6.2 en hoger ondersteunen TLS 1.1 en TLS 1.2. Bevestig de registerinstellingen, maar er zijn geen extra wijzigingen nodig.

  Opmerking

  Vanaf versie 2107 vereist Configuration Manager Microsoft .NET Framework versie 4.6.2 voor siteservers, specifieke sitesystemen, clients en de console. Installeer, indien mogelijk in uw omgeving, de nieuwste versie van .NET versie 4.8.

• Werk NET Framework 4.6 en eerdere versies bij om TLS 1.1 en TLS 1.2 te ondersteunen. Raadpleeg .NET Framework versies en afhankelijkheden voor meer informatie.

• Als u gebruikmaakt van .NET Framework 4.5.1 of 4.5.2 op Windows 8.1, Windows Server 2012 R2 of Windows Server 2012, wordt het ten zeerste aangeraden de meest recente beveiligingsupdates voor .NET Framework 4.5.1 en 4.5.2 te installeren om ervoor te zorgen dat TLS 1.2 correct kan worden ingeschakeld.

  Ter referentie: TLS 1.2 werd voor het eerst geïntroduceerd in .Net Framework 4.5.1 en 4.5.2 met de volgende hotfix-rollups:

  • Voor Windows 8.1 en Server 2012 R2: Hotfix-rollup 3099842
  • Voor Windows Server 2012: Hotfix-rollup 3099844

Configureren voor krachtige codering

Configureer .NET Framework voor ondersteuning van krachtige codering. Stel de SchUseStrongCrypto registerinstelling in op DWORD:00000001. Met deze waarde wordt het RC4-stroomcijfer uitgeschakeld en moet er opnieuw worden opgestart. Zie het Microsoft-beveiligingsadvies 296038 voor meer informatie over deze instelling.

Zorg ervoor dat u de volgende registersleutels instelt op elke computer die via het netwerk communiceert met een TLS 1.2-systeem. Bijvoorbeeld Configuration Manager-clients, externe sitesysteemrollen die niet zijn geïnstalleerd op de siteserver en de siteserver zelf.

Voor 32-bits toepassingen die worden uitgevoerd op 32-bits besturingssystemen en voor 64-bits toepassingen die worden uitgevoerd op 64-bits besturingssystemen werkt u de volgende subsleutelwaarden bij:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Voor 32-bits toepassingen die worden uitgevoerd op 64-bits besturingssystemen, werkt u de volgende subsleutelwaarden bij:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Volgende stappen

• TLS 1.2 inschakelen op de siteservers en externe sitesystemen
• Veelvoorkomende problemen bij het inschakelen van TLS 1.2