Jak włączyć protokół TLS 1.2 dla klientów

Dotyczy: Configuration Manager (Current Branch)

Po włączeniu protokołu TLS 1.2 w środowisku programu Configuration Manager przed włączeniem protokołu TLS 1.2 upewnij się, że klienci mają możliwość i są prawidłowo skonfigurowani do korzystania z protokołu TLS 1.2. Wyłącz starsze protokoły na serwerach lokacji i w zdalnych systemach lokacji.

Istnieją trzy zadania związane z włączaniem protokołu TLS 1.2 na klientach:

• Aktualizowanie systemu Windows i usługi WinHTTP
• Upewnij się, że protokół TLS 1.2 jest włączony jako protokół dla programu SChannel na poziomie systemu operacyjnego
• Aktualizowanie i konfigurowanie programu .NET Framework do obsługi protokołu TLS 1.2

Aby uzyskać więcej informacji na temat zależności określonych funkcji i scenariuszy programu Configuration Manager, zobacz Informacje o włączaniu protokołu TLS 1.2.

Aktualizowanie systemu Windows i usługi WinHTTP

System Windows 8.1, Windows Server 2012 R2, Windows 10, Windows Server 2016 i nowsze wersje systemu Windows natywnie obsługują TLS 1.2 do komunikacji klient–serwer za pośrednictwem protokołu WinHTTP.

Wcześniejsze wersje systemu Windows, na przykład Windows 7 lub Windows Server 2012, nie włączają domyślnie protokołu TLS 1.1 lub TLS 1.2 na potrzeby bezpiecznej komunikacji przy użyciu protokołu WinHTTP. W tych wcześniejszych wersjach systemu Windows zainstaluj usługę Update 3140245 , aby włączyć następującą wartość rejestru, którą można ustawić, aby dodać TLS 1.1 i TLS 1.2 do domyślnej listy bezpiecznych protokołów dla usługi WinHTTP. Po zainstalowaniu aktualizacji utwórz następujące wartości rejestru:

Sprawdź wartość ustawienia rejestru DefaultSecureProtocols , na przykład:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\
      DefaultSecureProtocols = (DWORD): 0xAA0

Jeśli ta wartość zostanie zmieniona, uruchom ponownie komputer.

W tym przykładzie pokazano 0xAA0 wartość ustawienia WinHTTP DefaultSecureProtocols . Aktualizacja umożliwiająca włączenie protokołów TLS 1.1 i TLS 1.2 jako domyślnych bezpiecznych protokołów w usłudze WinHTTP w systemie Windows zawiera listę wartości szesnastkowych dla każdego protokołu. Domyślnie w systemie Windows ta wartość powoduje 0x0A0 włączenie protokołów SSL 3.0 i TLS 1.0 dla usługi WinHTTP. Powyższy przykład zachowuje te wartości domyślne, a także włącza protokół TLS 1.1 i TLS 1.2 dla usługi WinHTTP. Ta konfiguracja gwarantuje, że zmiana nie naruszy żadnej innej aplikacji, która nadal może polegać na protokole SSL 3.0 lub TLS 1.0. Możesz użyć tej wartości 0xA00 , aby włączyć tylko protokół TLS 1.1 i TLS 1.2. Program Configuration Manager obsługuje najbezpieczniejszy protokół negocjowany przez system Windows między obydwoma urządzeniami.

Aby całkowicie wyłączyć protokoły SSL 3.0 i TLS 1.0, użyj ustawienia wyłączonych protokołów SChannel w systemie Windows. Aby uzyskać więcej informacji, zobacz Ograniczanie użycia określonych algorytmów kryptograficznych i protokołów w Schannel.dll.

Upewnij się, że protokół TLS 1.2 jest włączony jako protokół dla programu SChannel na poziomie systemu operacyjnego

W większości przypadków użycie protokołu jest kontrolowane na trzech poziomach: na poziomie systemu operacyjnego, platformy lub platformy i aplikacji. Protokół TLS 1.2 jest domyślnie włączony na poziomie systemu operacyjnego. Po upewnieniu się, że wartości rejestru platformy .NET są ustawione tak, aby włączyć protokół TLS 1.2, oraz po sprawdzeniu, czy w środowisku prawidłowo używany jest protokół TLS 1.2 w sieci, można edytować klucz rejestru SChannel\Protocols , aby wyłączyć starsze, mniej bezpieczne protokoły. Aby uzyskać więcej informacji na temat wyłączania protokołu TLS 1.0 i 1.1, zobacz Konfigurowanie protokołów Schannel w rejestrze systemu Windows.

Aktualizowanie i konfigurowanie programu .NET Framework do obsługi protokołu TLS 1.2

Określanie wersji platformy .NET

Najpierw określ zainstalowane wersje platformy .NET. Aby uzyskać więcej informacji, zobacz artykuł Określanie, które wersje i poziomy dodatku Service Pack struktury oprogramowania .NET Framework są zainstalowane.

Zainstaluj aktualizacje platformy .NET.

Zainstaluj aktualizacje platformy .NET, aby włączyć mocną kryptografię. Niektóre wersje programu .NET Framework mogą wymagać aktualizacji w celu włączenia mocnej kryptografii. Należy zastosować się do następujących wytycznych:

• Program .NET Framework 4.6.2 i nowsze obsługują TLS 1.1 i TLS 1.2. Potwierdź ustawienia rejestru, ale nie wprowadzaj żadnych innych zmian.

  Uwaga

  Począwszy od wersji 2107, program Configuration Manager wymaga platformy Microsoft .NET Framework w wersji 4.6.2 dla serwerów lokacji, określonych systemów lokacji, klientów i konsoli. Jeśli to możliwe, w Twoim środowisku zainstaluj najnowszą wersję oprogramowania .NET w wersji 4.8.

• Aktualizacja oprogramowania .NET Framework 4.6 i wcześniejszych do obsługi protokołu TLS 1.1 i TLS 1.2. hhhb Aby uzyskać więcej informacji, zobacz .NET Framework wersje i zależności.

• Jeśli korzystasz z programu .NET Framework 4.5.1 lub 4.5.2 w systemie Windows 8.1, Windows Server 2012 R2 lub Windows Server 2012, firma Microsoft zaleca zainstalowanie najnowszych aktualizacji zabezpieczeń dla wersji 4.5.1 i 4.5.2 programu .NET Framework, aby zapewnić możliwość włączenia protokołu TLS 1.2 właściwie.

  Dla przypomnienia: protokół TLS 1.2 został po raz pierwszy wprowadzony do programu .NET Framework 4.5.1 i 4.5.2 z następującymi pakietami zbiorczymi poprawek:

  • Dla Windows 8.1 i Server 2012 R2: Pakiet zbiorczy poprawek 3099842
  • Dla Windows Server 2012: Pakiet zbiorczy poprawek 3099844

Konfigurowanie pod kątem mocnej kryptografii

Skonfiguruj platformę .NET Framework do obsługi mocnej kryptografii. SchUseStrongCrypto Zmień ustawienie rejestru na DWORD:00000001. Ta wartość wyłącza szyfr strumieniowy RC4 i wymaga ponownego uruchomienia komputera. Aby uzyskać więcej informacji na temat tego ustawienia, zobacz Poradnik zabezpieczeń firmy Microsoft 296038.

Upewnij się, że poniższe klucze rejestru zostały ustawione na wszystkich komputerach, które komunikują się w sieci z systemem obsługującym protokół TLS 1.2. Na przykład klienci programu Configuration Manager, role zdalnego systemu lokacji, które nie są zainstalowane na serwerze lokacji i sam serwer lokacji.

Zaktualizuj następujące wartości podkluczy dla aplikacji 32-bitowych z 32-bitowymi systemami operacyjnymi i 64-bitowych aplikacji z 64-bitowymi systemami operacyjnymi:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Zaktualizuj następujące wartości podklucza dla 32-bitowych aplikacji działających w 64-bitowych systemach operacyjnych:

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
      "SystemDefaultTlsVersions" = dword:00000001
      "SchUseStrongCrypto" = dword:00000001

Zawartość pokrewna

• Włączanie protokołu TLS 1.2 na serwerach lokacji i w zdalnych systemach lokacji
• Typowe problemy podczas włączania protokołu TLS 1.2