Deaktivierung unsicherer Verschlüsselungsprotokolle (TLS1.0/TLS1.1)

Kenntnisstand

Januar 2023

Kein Anspruch auf Vollständigkeit

Bei diesem Artikel handelt es sich nicht um eine vollständige Beschreibung der Microsoft Administration. Daher muss die Microsoft Dokumentation herangezogen werden.

Um die Verwendung mittlerweile als unsicher angesehenen Protokolle zu unterbinden, muss die Windows Konfiguration entsprechend der Microsoft Dokumentation vorgenommen werden: https://learn.microsoft.com/de-de/lifecycle/announcements/transport-layer-security-1x-disablement

Da die estos Produkte auf der Microsoft Plattform aufsetzen, sind sie von den dort getroffenen Einstellungen "betroffen" und können damit nur die zugelassenen Verschlüsselungsverfahren verwenden.

Bitte beachten Sie, dass eine Änderung der Konfiguration zu Kompatibilitätsproblemen mit anderer Software führen kann, falls diese nicht die neueste TLS Protokollversion unterstützt.

Hier eine Auswahl möglicher weiterer Quellen:

Solving the TLS 1.0 Problem, 2nd Edition : https://learn.microsoft.com/en-us/security/engineering/solving-tls1-problem
TLS 1.1/1.2 supported on SQL Server 2016 and later versions? : https://support.microsoft.com/en-us/topic/kb3135244-tls-1-2-support-for-microsoft-sql-server-e4472ef8-90a9-13c1-e4d8-44aad198cdbe
Does SQL Server 2019 permit connections using TLS 1.0 or 1.1, or only 1.2? : https://support.microsoft.com/en-us/topic/kb3135244-tls-1-2-support-for-microsoft-sql-server-e4472ef8-90a9-13c1-e4d8-44aad198cdbe

Verbindungen mit unsicheren Protokollen auf dem Server unterbinden

Die folgende Datei schannel_disable_server.reg dient hier als Beispiel:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]
"EventLogging"=dword:00000007

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.2]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.2\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

CODE

Verbindungen mit unsicheren Protokollen auf dem Client unterbinden

Die folgende Datei schannel_disable_client.reg dient hier als Beispiel:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL]
"EventLogging"=dword:00000007

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.0\Client]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.2]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.2\Client]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"Enabled"=dword:00000000
"DisabledByDefault"=dword:00000001

CODE

Integrierter Web Server

Für den integrierten Web Server muss die Datei "C:\Program Files\estos\UCServer\WebService\Server\lib\serverlistener.js" an folgenden beiden Stellen ergänzt werden:

Hier die benötigten Textbausteine:

const { constants } = require('crypto');
serverset.secureOptions = constants.SSL_OP_NO_TLSv1 | constants.SSL_OP_NO_TLSv1_1;

CODE

Beachten Sie die Zeilennummern 16 + 193:

Weiterführende Informationen

Unterstützte kryptographische Algorithmen (Cipher)