Bunu birkaç gündür araştırıyorum, çünkü TLS 1.0'ın devre dışı bırakılmasını gerektiren PCI-DSS 3.1'e uymak zorundayız.
Ayrıca, büyük bir güvenlik sorunu olan RDP Güvenlik Katmanına geri dönmek istemiyoruz.
Sonunda TLS 1.1 ve TLS 1.2 A'nın RDP tarafından desteklendiğini doğrulayan bazı belgeler bulmayı başardım. Bu belge bir SChannel günlüğünde ve RDP için çok ayrıntılı bir spesifikasyonda gizlenmiştir .
Tekniğin ya da diğer Microsoft sitelerinde ana akış dokümantasyonunun tam bir eksikliği var, bu yüzden bunu burada belgelendirmek bazı insanlara yardımcı olabilir.
Sunulan linklerden alakalı alıntılar:
MSDN bağlantısından:
"RDP supports four External Security Protocols: TLS 1.0 ([RFC2246]) TLS 1.1 ([RFC4346])<39>, TLS 1.2 ([RFC5246])<40>"
RDP şartname PDF'sinden:
"When Enhanced RDP Security is used, RDP traffic is no longer protected by using the techniques
described in section 5.3. Instead, all security operations (such as encryption and decryption, data
integrity checks, and Server Authentication) are implemented by one of the following External
Security Protocols:
TLS 1.0 (see [RFC2246])
TLS 1.1 (see [RFC4346])
TLS 1.2 (see [RFC5246])
CredSSP (see [MS-CSSP])"
"<39> Section 5.4.5: TLS 1.1 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista and Windows Server 2008.
<40> Section 5.4.5: TLS 1.2 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista, and Windows Server 2008"
Bu nedenle, Windows Server 2008 R2'de bu belgeye göre TLS 1.1 veya 1.2 kullanabileceğinizi söyleyebiliriz.
Ancak, testimiz, TLS 1.0 devre dışı bırakıldığında ve RDP güvenlik seçeneği TLS 1.0 gerektirecek şekilde ayarlandığında Windows 7 RDP istemcisinden (sürüm 6.3.9600) ÇALIŞMADIĞINI kanıtladı.
Elbette bu, 2008R2'de varsayılan olarak devre dışı bırakılan TLS 1.1 ve 1.2'yi mümkün kılmaktır - bu arada , Nartac Software'in çok kullanışlı IIS Kripto Aracını kullanarak bunu yaparız .
Bu konuya bakarken, oturumunuz açıldığında neler olup bittiğini daha ayrıntılı görmek için SChannel günlüğünü etkinleştirmek yararlı olacaktır.
HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ EventLogging anahtarını 5 olarak değiştirip yeniden başlatarak SChannel günlüğünü ayarlayabilirsiniz .
Bu yapıldıktan sonra, bir RDP bağlantısı yapıldığında kullanılan TLS versiyonunu gösteren SChannel olaylarını gözlemleyebilirsiniz. Günlüğe kaydetme etkinleştirildikten sonra, RDP istemcisi Windows 2008 R2'de TLS 1.0 devre dışı bırakılmış bir bağlantı kurmaya çalıştığında SChannel hatasını gözlemleyebilirsiniz:
A fatal error occurred while creating an SSL server credential. The internal error state is 10013.
Ayrıca, Windows 7 RDP İstemcisi'ni kullanarak mükemmel şekilde çalıştığını onaylayabildiğim, Windows Server 2012 ve 2012 R2'de TLS 1.0'ı devre dışı bırakmayı test ettim. SChannel log girişi, kullanılan TLS 1.2'yi gösterir:
An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.
Protocol: TLS 1.2
CipherSuite: 0xC028
Exchange strength: 256
Umarım bu, bu konuda açıklama isteyen birine yardımcı olur.
Windows Server 2008 R2'de RDP'nin nasıl TLS 1.1 ve TLS 1.2 üzerinde çalışabileceğini aramaya devam edeceğim.
GÜNCELLEME: 2015-AUG-05
RDP'nin, Server 2008 R2 ile çalışmama sorununu, çoğaltma adımlarını da içeren Microsoft desteği ile gündeme getirdik.
Birkaç hafta geriye ve ileriye doğru nihayet nihayet destek ekibinden gerçekten yeniden üretilebildiklerini kabul etmek için bir telefon geldi ve bu şimdi hata olarak kategorize edildi. Güncelleme yaması, şu anda bu durumun Ekim 2015'te gerçekleşmesi bekleniyor. Bir KB makalesine veya diğer ayrıntılara sahip olduğumda bu yazıya ekleyeceğim.
Umarım Windows Server 2008 R2’ye takılanlar, en azından yama 2016’nın son gününden önce çözüme kavuşabilirler.
GÜNCELLEME: 19 Eylül 2015
Microsoft nihayet burada bu konuda bir kb destek makalesi yayımladı ve bunun doğru şekilde çalıştığını onaylayabilirim.