Edit (2018-09-26): 2012R2'de 3DES'i devre dışı bırakmanın RDP'yi kırmadığını ancak 2008 R2'de kırdığını keşfettim. Desteklenen seçenekler çekirdekler arasında farklı görünmektedir.
Cevabımı bir TechNet iş parçacığından paylaşacağım ama ilk BLUF:
Sunucu hatası sonucu: Büyük olasılıkla sistemler arasında başka bir fark vardır. Farklı işletim sistemi sürümleri arasında bağlantı kuruyorsunuz, bir sistemde FIPS etkin, diğeri etkin değil veya altında farklı şifreleme kısıtlamaları var HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers. Kesinlikle sistemde SCHANNEL günlüğü sağlayacak yapar kullanımda hangi şifre belirlemek için çalışmalarını. Bir şekilde alternatif bir şifre ile çalışmak için RDP'niz varsa duymak isterim.
Yayının kopyası:
Çalıştık!
Görünüşe göre 2008 ve 2012'de sözdizimi sorunları var ve 2008/7 bir iz / 168 gerektiriyor. 2012 / 8.1 / 10 desteklemiyor.
2008'in anahtarı şuna benziyor: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168
2012'nin anahtarı şuna benziyor: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168
"Triple DES 168/168" kullanımının sistemde 3DES'i devre dışı ETMEDİĞİNİ doğrulayabilirim. Bunu protokol protokolü (Nessus gibi) ile veya SCHANNEL günlüğünü etkinleştirerek kendinize kanıtlayabilirsiniz:
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL] "EventLogging"=dword:00000007
Daha sonra örneğin SYSTEM günlüğünde olaylara sahip olacaksınız;
Bir SSL istemci anlaşması başarıyla tamamlandı. Anlaşmalı kriptografik parametreler aşağıdaki gibidir.
Protokol: TLS 1.0 CipherSuite: 0x2f Değişim gücü: 1024
Benim için sonuç, Google'ın TLS_RSA_WITH_3DES_EDE_CBC_SHA olarak açıkladığı 0xa.
"Üçlü DES 168" (/ 168 olmadan) kullandığımda, Sistem olay kimliği 36880 görünmüyor ve RDP oturumu engellendi.
Makale başına: Sistem şifrelemesi: Şifreleme, karma ve imzalama için FIPS uyumlu algoritmalar kullanın
Uzak Masaüstü Hizmetleri (RDS) Uzak Masaüstü Hizmetleri ağ iletişimini şifrelemek için bu ilke ayarı yalnızca Üçlü DES şifreleme algoritmasını destekler.
Makaleye göre: "Sistem şifrelemesi: Windows XP ve Windows'un sonraki sürümlerinde güvenlik ayarı efektlerini şifreleme, karma ve imzalama için FIPS uyumlu algoritmalar kullanma"
Bu ayar, Windows Server 2003 ve Windows'un sonraki sürümlerindeki Terminal Hizmetleri'ni de etkiler. Etki, TLS'nin sunucu kimlik doğrulaması için kullanılıp kullanılmadığına bağlıdır.
Sunucu kimlik doğrulaması için TLS kullanılıyorsa, bu ayar yalnızca TLS 1.0'ın kullanılmasına neden olur.
Varsayılan olarak, TLS kullanılmıyorsa ve bu ayar istemcide veya sunucuda etkin değilse, sunucu ile istemci arasındaki Uzak Masaüstü Protokolü (RDP) kanalı, 128 bitlik RC4 algoritması kullanılarak şifrelenir anahtar uzunluğu. Bu ayarı Windows Server 2003 tabanlı bir bilgisayarda etkinleştirdikten sonra aşağıdakiler doğrudur: RDP kanalı 168 bit anahtar uzunluğunda Şifreleme Blok Zinciri (CBC) modunda 3DES algoritması kullanılarak şifrelenir. SHA-1 algoritması mesaj özetleri oluşturmak için kullanılır. İstemciler bağlanmak için RDP 5.2 istemci programını veya sonraki bir sürümünü kullanmalıdır.
Yani her ikisi de RDP'nin sadece 3DES kullanabileceği fikrini destekliyor. Ancak, bu makalede daha geniş bir şifreleme yelpazesi bulunduğunu göstermektedir: FIPS 140 Doğrulaması
Uzak Masaüstü Protokolü (RDP) sunucusunun kullanacağı şifreleme algoritmaları kümesi şu kapsamdadır: - CALG_RSA_KEYX - RSA ortak anahtar değişim algoritması - CALG_3DES - Üçlü DES şifreleme algoritması - CALG_AES_128 - 128 bit AES - CALG_AES_256 - 256 bit AES - CALG_S_1 - SHA karma algoritması - CALG_SHA_256 - 256 bit SHA karma algoritması - CALG_SHA_384 - 384 bit SHA karma algoritması - CALG_SHA_512 - 512 bit SHA karma algoritması
Sonuçta, FIPS modu etkinleştirildiğinde RDP'nin 3DES olmayan protokolleri destekleyip destekleyemeyeceği net değil, ancak kanıtlar bunu desteklemeyeceğini gösteriyor.
Server 2012 R2'nin Server 2008 R2'den farklı çalışacağına dair bir kanıt görmüyorum, ancak Server 2008 R2'nin FIPS 140-1 uyumluluğuna dayandığı ve Server 2012 R2'nin FIPS 140-2'yi izlediği görülüyor, bu nedenle Server 2012 R2'nin desteklemesi tamamen mümkün ek protokoller. FIPS 140 Doğrulama bağlantısındaki ek protokolleri not edeceksiniz .
Sonuç olarak: Server 2008 R2'nin 3DES devre dışı bırakıldığında FIPS modunda RDP'yi destekleyebileceğini sanmıyorum. Benim önerim, sisteminizin SWEET32 saldırısı koşullarını (tek bir oturumda 768 GB'den fazla) karşılayıp karşılamadığını ve 3DES'i devre dışı bırakmanın RDP özelliğini kaldırmaya değip değmeyeceğini belirlemektir. Özellikle sanallaştırmanın oldukça yaygın olduğu bir dünyada RDP dışındaki sunucuları yönetmek için başka yardımcı programlar da vardır.
