IIS 7.5'te TLS 1.1, 1.2 nasıl etkinleştirilir

Görünüşe göre Microsoft tarafından uygulanan, ancak varsayılan olarak kapalı olan TLS 1.1 ve 1.2 kullanan web tarayıcılarını desteklemek istiyoruz.

Böylece Google’ı aramaya başladım ve herkesin takip ettiği gibi bazı sayfalar keşfettim:

http://support.microsoft.com/kb/245030

https://www.derekseaman.com/2010/06/enable-tls-12-aes-256-and-sha-256-in.html

Ancak! Benim için çalışıyor gibi görünmüyor. DisabledByDefault için hem DWORD hem de TLS 1.1 ve 1.2 için Enabled ayarlarım. Müşterimin TLS 1.2 ile iletişim kurmaya çalıştığını doğrulayabilirim, ancak sunucu yalnızca 1.0 ile yanıt veriyor. IIS'yi yeniden başlattım, ancak durumu değiştirmedi.

Microsoft dikkat çekiyor: "UYARI: Protokoller anahtarının altındaki kayıt defteri anahtarlarındaki DisabledByDefault değeri, Schannel kimlik bilgisi verilerini içeren SCHANNEL_CRED yapısında tanımlanan grbitEnabledProtocols değerinden öncelikli değildir."

Bu benim için çok belirsiz. SCHANNEL_CRED'in tanımlandığı veya ayarlandığı hiçbir yerde bulamıyorum, tek bir Microsoft kütüphanesinde tanımlanmış bir yapı olduğunu belirleyebiliyorum. Bu neden işe yaramadığına dair tek tahminim, ancak bunun gerçek bir sorun olup olmadığını belirlemek için yeterli bilgi bulamıyorum.

Yeniden Başlatma. Schannel ayarlarında yapılan değişiklikler, sistem yeniden başlatılıncaya kadar geçerli olmaz.

Microsoft SChannel protokollerinde ve şifrelerinde değişiklik yapmanın en kolay yolu (şifre siparişi dahil), herhangi bir can sıkıcı kayıt gereksinimi olmadan indirilebilen tamamen ücretsiz bir araç olan IIS Crypto kullanmaktır .

Araç, kapakların altındaki kayıt defteri anahtarlarını değiştirir ancak bunu kontrollü, kanıtlanmış ve güvenli bir şekilde yapar. Düzenli kullanıyoruz.

Bir GUI sürümüne ek olarak bir komut satırı sürümüne sahip olduğundan otomasyon senaryolarında yardımcı olabileceğine dikkat çekmek önemlidir.

Bazı değişikliklerin ve neden yapıldıklarının tartışıldığı bir blog da var. Araç, SSL sorunları ortaya çıktığında güncel tutulma eğilimindedir.

TLS 1.1 ve 1.2’yi etkinleştirmek için yeniden başlatma gerekir. RC4 ve DH'yi devre dışı bırakmak doğrudan sunucuyu veya hizmetleri yeniden başlatmadan gerçekleşir.

Doğru hatırlıyorsam, SSLv2 ve SSLv3'ü devre dışı bırakmak da anında etkili oldu.

https://technet.microsoft.com/en-us/library/dn786418.aspx

Protokolü etkinleştirmek için DWORD değerini 0xffffffff olarak değiştirin.