Hantera SSL/TLS-protokoll och chiffersviter för AD FS

Följande dokumentation innehåller information om hur du inaktiverar och aktiverar vissa TLS/SSL-protokoll och chiffersviter som Active Directory Federation Services (AD FS) använder.

TLS/SSL, Schannel och chiffersviter i AD FS

TLS-protokollet (Transport Layer Security) tillhandahåller krypterad säker kommunikation över nätverket. SSL-protokollet (Secure Sockets Layer) krypterar känsliga datautbyten som överförs mellan en webbserver och en webbläsare som liknar TLS. Active Directory Federation Services (AD FS) använder dessa protokoll för kommunikation. I dag finns det flera versioner av dessa protokoll.

Security Channel (Schannel) är en SSP (Security Support Provider) som implementerar standardautentiseringsprotokollen SSL, TLS och DTLS internet. SSPI (Security Support Provider Interface) är ett API som används av Windows-system för att utföra säkerhetsrelaterade funktioner, inklusive autentisering. SSPI fungerar som ett gemensamt gränssnitt för flera SSP:er, inklusive Schannel SSP.

En chiffersvit är en uppsättning kryptografiska algoritmer. Schannel SSP-implementeringen av TLS/SSL-protokollen använder algoritmer från en chiffersvit för att skapa nycklar och kryptera information. En chiffersvit anger en algoritm för var och en av följande uppgifter:

• Nyckelutbyte
• Masskryptering
• Meddelandeautentisering

AD FS använder Schannel.dll för att utföra sina säkra kommunikationsinteraktioner. För närvarande stöder AD FS alla protokoll och chiffersviter som Schannel.dll stöder.

Hantera TLS/SSL-protokoll och chiffersviter

I dagens tid blir härdning av servrar och borttagning av äldre eller svaga chiffersviter en viktig prioritet för många organisationer. Programvarupaket är tillgängliga som testar dina servrar och ger detaljerad information om dessa protokoll och sviter. För att förbli kompatibla eller uppnå säkra klassificeringar har det blivit ett måste att ta bort eller inaktivera svagare protokoll eller chiffersviter. Resten av det här dokumentet innehåller vägledning om hur du aktiverar eller inaktiverar vissa protokoll och chiffersviter.

Följande registernycklar finns på samma plats: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols. Använd Registereditorn eller PowerShell för att aktivera eller inaktivera dessa protokoll och chiffersviter.

Aktivera och inaktivera SSL 3.0

Använd följande registernycklar och deras värden för att aktivera och inaktivera SSL 3.0.

Aktivera SSL 3.0

Inaktivera SSL 3.0

Använda PowerShell för att inaktivera SSL 3.0

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

Write-Host 'SSL 3.0 has been disabled.'

Aktivera och inaktivera TLS 1.0

Använd följande registernycklar och deras värden för att aktivera och inaktivera TLS 1.0.

Aktivera TLS 1.0

Inaktivera TLS 1.0

Använda PowerShell för att inaktivera TLS 1.0

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

Write-Host 'TLS 1.0 has been disabled.'

Aktivera och inaktivera TLS 1.1

Använd följande registernycklar och deras värden för att aktivera och inaktivera TLS 1.1.

Aktivera TLS 1.1

Inaktivera TLS 1.1

Använda PowerShell för att inaktivera TLS 1.1

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

Write-Host 'TLS 1.1 has been disabled.'

Inaktivera TLS 1.2

TLS 1.2 är aktiverat som standard från och med Windows Server 2012. Du kan använda följande registernycklar och deras värden för att inaktivera TLS 1.2.

Använda PowerShell för att inaktivera TLS 1.2

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null

New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null

Write-Host 'TLS 1.2 has been disabled.'

Aktivera eller inaktivera hashar, chiffer och chiffersviter

Kontroll av chiffer, hashvärden och nyckelutbytesalgoritmer, förutom nyckelstorlek, via registret stöds inte. Hashar, chiffer och nyckelutbytesalgoritmer styrs via PowerShell, MDM eller Chiffersvitordning.

En fullständig lista över chiffersviter som stöds finns i Chiffersviter i TLS/SSL (Schannel SSP). Den här artikeln innehåller en tabell med sviter som är aktiverade som standard och visar vilka sviter som stöds men inte är aktiverade som standard. Information om hur du prioriterar chiffersviterna finns i Prioritera Schannel Chiffersviter.

Aktivera stark autentisering för .NET-program

.NET Framework 3.5/4.0/4.5.x-programmen kan växla standardprotokollet till TLS 1.2 genom att aktivera Registernyckeln SchUseStrongCrypto. Dessa registernycklar tvingar .NET-program att använda TLS 1.2.

För .NET Framework 3.5 använder du följande registernyckel:

För .NET Framework 4.0/4.5.x använder du följande registernyckel:

New-ItemProperty -path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null

Ytterligare information

• Chiffersviter i TLS/SSL (Schannel SSP)
• Prioritering av Schannel-krypteringssviter
• Talar i chiffer och andra gåtfulla tungor