Como habilitar o TLS 1.2

Aplica-se ao: Gerenciador de Configurações (Ramificação Atual)

O protocolo TLS, assim como o protocolo SSL, é um protocolo de criptografia destinado a manter os dados seguros quando estão sendo transferidos por uma rede. Estes artigos descrevem as etapas necessárias para garantir que a comunicação segura do Configuration Manager use o protocolo TLS 1.2. Esses artigos também descrevem os requisitos de atualização para componentes comumente usados e solução de problemas comuns.

Habilitando o TLS 1.2

O Configuration Manager depende de muitos componentes diferentes para comunicação segura. O protocolo usado para uma conexão específica depende dos recursos dos componentes relevantes no lado do cliente e do servidor. Se algum componente estiver desatualizado ou não estiver configurado corretamente, a comunicação poderá usar um protocolo mais antigo e menos seguro. Para habilitar corretamente o Configuration Manager para oferecer suporte ao TLS 1.2 para todas as comunicações seguras, você deve habilitar o TLS 1.2 para todos os componentes necessários. Os componentes necessários dependem do seu ambiente e dos recursos do Configuration Manager que você usa.

Tarefas para clientes do Configuration Manager, servidores de site e sistemas de site remoto

Para habilitar o TLS 1.2 para componentes dos quais o Configuration Manager depende para comunicação segura, você precisará realizar várias tarefas nos clientes e nos servidores do site.

Habilitar o TLS 1.2 para clientes do Configuration Manager

• Atualizar o Windows e o WinHTTP no Windows 8.0, no Windows Server 2012 (não R2) e versões anteriores
• Certifique-se de que o TLS 1.2 esteja habilitado como um protocolo para SChannel no nível do sistema operacional
• Atualize e configure o .NET Framework para dar suporte ao TLS 1.2

Habilitar o TLS 1.2 para servidores de site do Configuration Manager e sistemas de site remotos

• Certifique-se de que o TLS 1.2 esteja habilitado como um protocolo para SChannel no nível do sistema operacional
• Atualize e configure o .NET Framework para dar suporte ao TLS 1.2
• Atualizar o SQL Server e o SQL Server Native Client
• Atualizar o Windows Server Update Services (WSUS)

Recursos e dependências de cenário

Esta seção descreve as dependências de recursos e cenários específicos do Configuration Manager. Para determinar as próximas etapas, localize os itens que se aplicam ao seu ambiente.

Perguntas frequentes

Por que usar o TLS 1.2 com o Configuration Manager?

O TLS 1.2 é mais seguro do que os protocolos criptográficos anteriores, como SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1. Essencialmente, o TLS 1.2 mantém os dados que estão sendo transferidos pela rede mais seguros.

Onde o Configuration Manager usa protocolos de criptografia como o TLS 1.2?

Há basicamente cinco áreas em que o Configuration Manager usa protocolos de criptografia como o TLS 1.2:

• O cliente se comunica com funções de servidor de site baseadas em IIS quando a função é configurada para usar HTTPS. Exemplos dessas funções incluem pontos de distribuição, pontos de atualização de software e pontos de gerenciamento.
• Ponto de gerenciamento, SMS Executive e comunicações do provedor de SMS com SQL. O Configuration Manager sempre criptografa as comunicações do SQL Server.
• Servidor do Site para comunicações do WSUS se o WSUS estiver configurado para usar HTTPS.
• O console do Configuration Manager para o SQL Server Reporting Services (SSRS) se o SSRS estiver configurado para usar HTTPS.
• Todas as conexões com serviços baseados na Internet. Os exemplos incluem o CMG (gateway de gerenciamento de nuvem), a sincronização do ponto de conexão de serviço e a sincronização de metadados de atualização do Microsoft Update.

O que determina qual protocolo de criptografia é usado?

O HTTPS sempre negociará a versão de protocolo mais alta compatível com o cliente e o servidor em uma conversa criptografada. Ao estabelecer uma conexão, o cliente envia uma mensagem ao servidor com seu protocolo mais alto disponível. Se o servidor for compatível com a mesma versão, ele enviará uma mensagem usando essa versão. Essa versão negociada é a usada para a conexão. Se o servidor não for compatível com a versão apresentada pelo cliente, a mensagem do servidor especificará a versão mais alta que ele pode usar. Para obter mais informações sobre o protocolo de handshake TLS, consulte Estabelecendo uma sessão segura usando TLS.

O que determina qual versão de protocolo o cliente e o servidor podem usar?

Geralmente, os seguintes itens podem determinar qual versão do protocolo é usada:

• O aplicativo pode ditar quais versões de protocolo específicas negociar.
  • A prática recomendada determina evitar codificar versões de protocolo específicas no nível do aplicativo e seguir a configuração definida no nível do componente e do protocolo do SO.
  • O Configuration Manager segue esta prática recomendada.
• Para aplicativos escritos usando o .NET Framework, as versões de protocolo padrão dependem da versão da estrutura em que foram compiladas.
  • As versões do .NET antes da 4.6.3 não incluíam o TLS 1.1 e 1.2 na lista de protocolos para negociação, por padrão.
• Os aplicativos que usam o WinHTTP para comunicações HTTPS, como o cliente do Configuration Manager, dependem da versão do sistema operacional, do nível de patch e da configuração para o suporte à versão do protocolo.

Recursos adicionais

• Referência técnica de controles criptográficos
• Práticas recomendadas do protocolo TLS com o .NET Framework
• KB 3135244: suporte TLS 1.2 para Microsoft SQL Server

Próximas etapas

• Habilitar o TLS 1.2 em clientes
• Habilitar o TLS 1.2 nos servidores do site