首页
学习
活动
专区
圈层
工具
发布
社区首页 >问答首页 >如何在WindowsServer2012R2中禁用TLS1.0

如何在WindowsServer2012R2中禁用TLS1.0
EN

Server Fault用户
提问于 2020-04-02 19:14:47
回答 1查看 5.9K关注 0票数 1

我已经在Windows2012R2服务器中禁用了SSL2.0和SSL3.0,方法是进入HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\并添加条目,如附件所示。它运转得很好。

然而,当我试图禁用TLS 1.0时,情况并非如此。如果我添加的条目与我为SSL2.0、SSL3.0所做的类似,它将阻塞端口443。我无法理解这件事。

图片:TLS 1.0 -客户端密钥设置 TLS 1.0 -服务器密钥设置

在注册表中使用TLS 1.0的Nmap结果:

nnmap -p 443 -脚本ssl-enum-密码操作-评估.int.net.xyz.com

代码语言:javascript
复制
Starting Nmap 7.80 ( https://nmap.org ) at 2020-04-02 23:08 India Standard Time

Nmap scan report for operational-assessment.int.net.xyz.com (10.x.x.x)
Host is up (0.040s latency).

PORT    STATE  SERVICE
443/tcp closed https
MAC Address: 00:11:22:33:44:55 (Cimsys)

Nmap done: 1 IP address (1 host up) scanned in 2.23 seconds

但是,当我从注册表中删除TLS 1.0条目时,它可以正常工作,并表示启用了TLS1.0。

未在注册表中使用TLS1.0的NMAP结果:

nnmap -p 443 -脚本ssl-enum-密码操作-评估.int.net.xyz.com

代码语言:javascript
复制
Starting Nmap 7.80 ( https://nmap.org ) at 2020-04-02 22:40 India Standard Time
Nmap scan report for operational-assessment.int.net.xyz.com (10.x.x.x)
Host is up (0.041s latency).

PORT    STATE SERVICE
443/tcp open  https
| ssl-enum-ciphers: 
|   TLSv1.0: 
|     ciphers: 
|       TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (secp256r1) - A
|       TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (secp256r1) - A
|       TLS_DHE_RSA_WITH_AES_256_CBC_SHA (dh 1024) - A
|       TLS_DHE_RSA_WITH_AES_128_CBC_SHA (dh 1024) - A
|       TLS_RSA_WITH_AES_256_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_AES_128_CBC_SHA (rsa 2048) - A
|       TLS_RSA_WITH_3DES_EDE_CBC_SHA (rsa 2048) - C
|       TLS_RSA_WITH_RC4_128_SHA (rsa 2048) - C
|       TLS_RSA_WITH_RC4_128_MD5 (rsa 2048) - C
|     compressors: 
|       NULL
|     cipher preference: server
|     warnings: 
|       64-bit block cipher 3DES vulnerable to SWEET32 attack
|       Broken cipher RC4 is deprecated by RFC 7465
|       Ciphersuite uses MD5 for message integrity
|       Key exchange (dh 1024) of lower strength than certificate key

如果我做错了什么,请告诉我。我已经跟踪了几个链接,它们都表明了我已经遵循的方式。

EN

回答 1

Server Fault用户

发布于 2020-04-03 16:54:26

我没有在TLS1.0Server的屏幕截图中看到DisabledByDefault键设置。您确实在TLS 1.0客户端中拥有它。这意味着到服务器的传入连接仍然可以使用TLS1.0进行响应。

DisabledByDefault =1和Enabled =0键都是关闭协议和重新启动系统的必要条件(取决于应用程序,有些每次检查可用的协议,而有些只检查开始)。

Before您关闭了1.0,请确保在客户端和服务器上都启用了TL1.1或1.2,或者对机器具有控制台访问权限(您没有屏幕截图中列出的更高协议的注册表结构)。如果在禁用之前无法启用,就会将您锁定在远程连接之外。

票数 1
EN
页面原文内容由Server Fault提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接:

https://serverfault.com/questions/1010635

复制
相关文章

相似问题

领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档