Wir möchten Webbrowser unterstützen, die TLS 1.1 und 1.2 verwenden, das anscheinend von Microsoft implementiert wurde, aber standardmäßig deaktiviert ist.
Also suchte ich bei Google und entdeckte einige Seiten, denen anscheinend alle folgen:
http://support.microsoft.com/kb/245030
https://www.derekseaman.com/2010/06/enable-tls-12-aes-256-and-sha-256-in.html
Jedoch! Es scheint nicht für mich zu funktionieren. Ich habe beide DWORD-Vaules für DisabledByDefault und Enabled für TLS 1.1 und 1.2 festgelegt. Ich kann bestätigen, dass mein Client versucht, mit TLS 1.2 zu kommunizieren, aber der Server antwortet nur mit 1.0. Ich habe IIS neu gestartet, aber es hat die Situation nicht geändert.
Microsoft weist darauf hin: "WARNUNG: Der Wert DisabledByDefault in den Registrierungsschlüsseln unter dem Schlüssel Protocols hat keinen Vorrang vor dem Wert grbitEnabledProtocols, der in der Struktur SCHANNEL_CRED definiert ist, die die Daten für einen Schannel-Berechtigungsnachweis enthält."
Nun, das ist sehr vage für mich. Ich kann nirgendwo finden, wo SCHANNEL_CRED definiert oder festgelegt ist. Ich kann nur feststellen, dass es sich um eine in einer Microsoft-Bibliothek definierte Struktur handelt. Das ist meine einzige Vermutung, warum dies nicht funktioniert, aber ich kann nicht genug Informationen finden, um festzustellen, ob es das wahre Problem ist.
quelle
Antworten:
Starten Sie neu. Änderungen an den Schannel-Einstellungen werden erst nach einem Neustart des Systems wirksam.
quelle
Die einfachste Möglichkeit, Änderungen an Microsoft SChannel-Protokollen und -Verschlüsselungen (einschließlich der Verschlüsselungsreihenfolge) vorzunehmen, ist die Verwendung von IIS Crypto , einem völlig kostenlosen Tool, das ohne lästige Registrierungsanforderungen heruntergeladen werden kann.
Das Tool manipuliert die Registrierungsschlüssel unter der Abdeckung auf kontrollierte, bewährte und sichere Weise. Wir benutzen es regelmäßig.
Es ist auch erwähnenswert, dass es in Automatisierungsszenarien hilfreich sein kann, da es zusätzlich zu einer GUI-Version eine Befehlszeilenversion gibt.
Es gibt auch einen Blog , in dem einige Änderungen und deren Gründe erläutert werden. Das Tool wird in der Regel auf dem neuesten Stand gehalten, wenn SSL-Probleme auftreten.
quelle
Das Aktivieren von TLS 1.1 und 1.2 erfordert einen Neustart. Das Deaktivieren von RC4 und DH erfolgt direkt, ohne den Server oder die Dienste neu zu starten.
Wenn ich mich richtig erinnere, war das Deaktivieren von SSLv2 und SSLv3 auch sofort wirksam.
quelle
https://technet.microsoft.com/en-us/library/dn786418.aspx
Ändern Sie den DWORD-Wert in 0xffffffff, um das Protokoll zu aktivieren.
quelle