Как отключить TLS 1.0 и TLS 1.1 в Windows с помощью объекта групповой политики
В этой статье мы покажем, как отключить устаревшие версии протокола Transport Layer Security в Windows с помощью групповых политик. Версии TLS 1.0 и 1.1 больше не являются безопасными и должны быть отключены по умолчанию для всех служб. Если вы перенесли все свои службы на TLS 1.2 или TLS 1.3, вы можете отключить поддержку устаревшего протокола на своих клиентах и серверах Windows с помощью объекта групповой политики.
Получить список поддерживаемых протоколов SSL/TLS на сервере можно с помощью онлайн-сервисов SSL Labs (см. пример в статье Сайт не может обеспечить безопасное соединение).
В клиенте Windows вы можете просмотреть список включенных версий протокола TLS для браузера в Свойствах обозревателя (
inetcpl.cpl). На этом снимке экрана показано, что TLS 1.0, TLS 1.1, TLS 1.2 и TLS 1.3 включены. При установке соединения с сервером для шифрования выбирается самая высокая версия TLS, поддерживаемая как клиентом, так и сервером.
Если вы отключите поддержку старых версий TLS, пользователи не смогут подключаться к устаревшим сервисам. Поэтому мы рекомендуем заранее протестировать новые настройки на пилотных группах компьютеров и серверов.
Вы можете настроить список протоколов TLS/SSL, включенных на вкладке «Свойства обозревателя» на клиенте, используя параметр Отключить поддержку шифрования GPO в разделе «Конфигурация компьютера» -> «Административные шаблоны» -> «Компоненты Windows» -> Internet Explorer. > Панель управления Internet Explorer -> Расширенная страница.
Включите политику и выберите, какие версии TLS/SSL вашим пользователям будет разрешено использовать, в раскрывающемся списке Комбинации протоколов безопасности.
Этот параметр объекта групповой политики соответствует параметру реестра SecureProtocols в ключе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings.
Вам придется перезагрузить компьютер, чтобы применить новые настройки объекта групповой политики, снова открыть «Свойства обозревателя» и убедиться, что доступны только те версии TLS, которые вы разрешили в объекте групповой политики. Пользователь не сможет изменить эти настройки (обратите внимание: Некоторые настройки управляются сообщением вашего системного администратора).
К сожалению, здесь нельзя оставить включенными только TLS 1.3 и TLS 1.2, поскольку в GPO такой опции нет. Кроме того, он не отключает поддержку TLS 1.0 и TLS 1.1 на стороне вашего Windows Server (например, в IIS или Exchange).
Так что устаревшие версии TLS лучше отключать напрямую через реестр. Вы можете использовать объект групповой политики для развертывания необходимых параметров реестра на компьютерах домена.
Чтобы отключить TLS 1.0 в Windows как для клиента, так и для сервера, добавьте в реестр следующие параметры:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
Таким же образом можно отключить и другие протоколы. Достаточно заменить в реестре выделенный путь на SSL 2.0, SSL 3.0, TLS 1.1 и т.д.
Чтобы принудительно включить TLS 1.2, добавьте следующие записи реестра:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001Таким образом. вы увидите следующее в разделе «Конфигурация компьютера» -> «Настройки» -> «Настройки Windows» -> «Реестр» объекта групповой политики.
Перезагрузите Windows, чтобы применить настройки.
Помимо изменения настроек доступных версий TLS в реестре, вам необходимо разрешить использование TLS 1.2 для приложений NET 3.5 и 4.x, а также для WinHTTP. Например, Outlook использует настройки шифрования для WinHTTP (подробнее читайте в этой статье).
Чтобы включить протоколы системного шифрования для .Net 3.5 и 2.0:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001Для .Net 4.x:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001Чтобы включить использование TLS 1.2 для WinHTTP:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800В Windows Server вы также можете использовать инструмент ISS Crypto GUI (https://www.nartac.com/Products/IISCrypto/Download) для просмотра и настройки параметров SCHANNEL.
