问.NET 4.5中的默认SecurityProtocol

EN

一些在其他答案上留下评论的人指出，将System.Net.ServicePointManager.SecurityProtocol设置为特定值意味着你的应用程序将无法利用未来的TLS版本，这些版本可能会成为.NET的未来更新的默认值。

对于.NET 4.7或更高版本，请勿设置System.Net.ServicePointManager.SecurityProtocol。默认值(SecurityProtocolType.SystemDefault)将允许操作系统使用它已知并已配置的任何版本，包括在创建应用程序时可能不存在的任何新版本。

对于早期版本的.NET框架，您可以打开或关闭您已知和关心的协议，而让其他协议保持原样。

要在不影响其他协议的情况下启用TLS 1.1和1.2，请执行以下操作：

System.Net.ServicePointManager.SecurityProtocol |= 
    SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

请注意，使用|=打开这些标志，而不关闭其他标志。

要在不影响其他协议的情况下关闭SSL3：

System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;

两个.NET 4.0/4.5中的默认System.Net.ServicePointManager.SecurityProtocol都是SecurityProtocolType.Tls|SecurityProtocolType.Ssl3。

.NET 4.0最多支持TLS 1.0，而.NET 4.5最多支持TLS 1.2

但是，如果在同一环境中安装了.NET 4.0，则以.NET 4.5为目标的应用程序仍然可以支持高达TLS 1.2。.NET 4.5安装在.NET 4.0之上，取代了System.dll。

我已经通过观察fiddler4流量中设置的正确安全协议和在.NET 4.0项目中手动设置枚举值来验证这一点：

ServicePointManager.SecurityProtocol = (SecurityProtocolType)192 |
(SecurityProtocolType)768 | (SecurityProtocolType)3072;

参考资料：

namespace System.Net
{
    [System.Flags]
    public enum SecurityProtocolType
    {
       Ssl3 = 48,
       Tls = 192,
       Tls11 = 768,
       Tls12 = 3072,
    }
}

如果你在只安装了.NET 4.0的环境中尝试黑客攻击，你会得到一个异常：

未处理的异常: System.NotSupportedException:不支持请求的安全协议。在System.Net.ServicePointManager.set_SecurityProtocol(SecurityProtocolType值中)

但是，我不推荐这种“黑客攻击”，因为将来的补丁等可能会破坏它。*

因此，我决定移除对SSLv3的支持的最好方法是：

1. 将所有应用程序升级到.NET 4.5
2. Add以下引导代码以覆盖默认设置，并在将来验证它：

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

*如果这个hack是错误的，有人纠正我，但初步测试我认为它是有效的

您可以覆盖以下注册表中的默认行为：

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

和

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

详情请参考implementation of ServicePointManager。