Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
EmailΑναγν. άρθρου: 245030 - Τελευταία αναθεώρηση: Κυριακή, 19 Δεκεμβρίου 2010 - Αναθεώρηση: 2.0 Τρόπος περιορισμού της χρήσης συγκεκριμένων κρυπτογραφικών αλγόριθμων και πρωτοκόλλων στο Schannel.dll
Σε αυτήν τη σελίδαΠερίληψηΑυτό το άρθρο περιγράφει πώς μπορείτε να περιορίσετε τη χρήση ορισμένων αλγόριθμους κρυπτογράφησης και τα πρωτόκολλα του αρχείου Schannel.dll. Αυτή η πληροφορία ισχύει επίσης για εφαρμογές ανεξάρτητοι προμηθευτές λογισμικού (ISV) που έχουν γραφτεί για τα API κρυπτογράφησης της Microsoft. Περισσότερες πληροφορίεςΤο παρακάτω Crypto υπηρεσίες παροχής (CSP περιλαμβάνεται στα Windows NT 4.0 Service Pack 6) έχουν γίνει κερδίζονται τα πιστοποιητικάΕπικύρωση κρυπτογράφησης FIPS 140-1
(http://csrc.nist.gov/cryptval/140-1/1401val.htm)
:
Μπορείτε να τροποποιήσετε το αρχείο Schannel.dll ώστε να υποστηρίζει κρυπτογράφηση Suite 1 και 2, αλλά το πρόγραμμα πρέπει να υποστηρίζει επίσης κρυπτογράφηση Suite 1 και 2. Οικογένειας προγραμμάτων κρυπτογράφησης 1 και 2 δεν υποστηρίζονται στις υπηρεσίες IIS 4.0 και 5.0. Αυτό το άρθρο παρέχει τις απαραίτητες πληροφορίες ρύθμισης παραμέτρων του Windows NT 4.0 Service Pack 6 και νεότερες παροχής ασφάλειας TLS/SSL. Μπορείτε να χρησιμοποιήσετε το μητρώο των Windows για να ελέγξετε τη χρήση της συγκεκριμένης SSL 3.0 ή ακολουθούν τις οικογένειες προγραμμάτων κρυπτογράφηση TLS 1.0 για το αλγόριθμους κρυπτογράφησης που υποστηρίζεται από τη Microsoft Base ή την υπηρεσία παροχής κρυπτογράφησης Enhanced. ΣΗΜΕΙΩΣΗ: Στα Windows NT 4.0 Service Pack 6 του αρχείου Schannel.dll δεν χρησιμοποιεί το Microsoft Base DSS παροχής κρυπτογράφησης (Dssbase.dll) ή το Microsoft DS/Diffie-Hellman βελτιωμένης παροχής κρυπτογράφησης (Dssenh.dll). Οικογένειες προγραμμάτων κρυπτογράφησηςΚαι οι δύο SSL 3.0 ()http://www.Mozilla.org/projects/Security/PKI/NSS/SSL/draft302.txt (http://www.mozilla.org/projects/security/pki/nss/ssl/draft302.txt) ), και TLS 1.0 (RFC2246) με "56-bit εξαγωγής κρυπτογράφηση ομάδων για TLS draft-ietf-tls-56-bit-ciphersuites-00.txt" ΠΡΌΧΕΙΡΗ INTERNET παρέχουν επιλογές για να χρησιμοποιήσετε διαφορετικό cipher οικογένειες προγραμμάτων. Κάθε οικογένειας προγραμμάτων κρυπτογράφησης Καθορίζει την ανταλλαγή κλειδιών, έλεγχο ταυτότητας, κρυπτογράφησης και MAC αλγόριθμους που χρησιμοποιούνται σε μια περίοδο λειτουργίας SSL/TLS. Σημειώστε ότι όταν χρησιμοποιείτε το RSA ως και ανταλλαγή κλειδιών και αλγόριθμων ελέγχου ταυτότητας, ο όροςRSAεμφανίζεται μόνο μία φορά στους ορισμούς αντίστοιχη οικογένεια προγραμμάτων κρυπτογράφησης.Το των Windows NT 4.0 Service Pack 6 Microsoft TLS/SSL παροχής ασφάλειας υποστηρίζει τα παρακάτω "CipherSuite" που ορίζεται στο SSL 3.0, όταν χρησιμοποιείτε το Microsoft Base ή βελτιωμένη υπηρεσία παροχής κρυπτογράφησης: Σύμπτυξη αυτού του πίνακα
Τα Windows NT 4.0 Service Pack 6 Microsoft TLS/SSL παροχής ασφάλειας υποστηρίζει επίσης τις παρακάτω "CipherSuite" που ορίζεται στο TLS 1.0, όταν χρησιμοποιείτε το Microsoft Base ή βελτιωμένη υπηρεσία παροχής κρυπτογράφησης: Σύμπτυξη αυτού του πίνακα
Το Schannel συγκεκριμένα κλειδιά μητρώουΣημαντικόΑυτή ενότητα, μέθοδο ή εργασία περιέχει βήματα που θα σας πληροφορήσει πώς να τροποποιήσετε το μητρώο. Ωστόσο, ενδέχεται να προκύψουν σοβαρά προβλήματα εάν δεν τροποποιήσετε σωστά το μητρώο. Κατά συνέπεια, βεβαιωθείτε ότι ακολουθείτε προσεκτικά τα εξής βήματα. Για επιπλέον προστασία, δημιουργήστε αντίγραφα ασφαλείας του μητρώου προτού το τροποποιήσετε. Με αυτόν τον τρόπο, μπορείτε να επαναφέρετε το μητρώο εάν προκύψει πρόβλημα. Για περισσότερες πληροφορίες σχετικά με τον τρόπο δημιουργίας αντιγράφων ασφαλείας και επαναφοράς του μητρώου, κάντε κλικ στον αριθμό του άρθρου παρακάτω για να προβάλετε το άρθρο της Γνωσιακής βάσης της Microsoft:322756
(http://support.microsoft.com/kb/322756/
)
Τρόπος δημιουργίας αντιγράφων ασφαλείας και επαναφοράς του μητρώου στα Windows SCHANNEL κλειδιούΞεκινήστε τον Επεξεργαστή μητρώου (Regedt32.exe) και εντοπίστε το ακόλουθο κλειδί στο μητρώο.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL Δευτερεύον κλειδί SCHANNEL\ProtocolsΓια να ενεργοποιήσετε τη χρήση των πρωτοκόλλων που δεν θα είναι αντικείμενο διαπραγμάτευσης από προεπιλογή (όπως TLS 1.1 ή TLS 1.2), αλλάξτε τα δεδομένα τιμής DWORD του τοDisabledByDefaultη τιμή για την0x0σε κάθε ένα από τα ακόλουθα κλειδιά μητρώου στο κλειδί πρωτόκολλα:
SCHANNEL\Ciphers δευτερεύοντος κλειδιούΓια ναΚρυπτογραφήσεωντο κλειδί μητρώου κάτω από τοSchannelτο κλειδί χρησιμοποιείται για να ελέγξετε τη χρήση των συμμετρικών αλγόριθμων όπως DES ή RC4. Τα παρακάτω αποτελούν κλειδιά μητρώου έγκυρο τοΚρυπτογραφήσεωνΚλειδί.SCHANNEL\Ciphers\RC4 δευτερεύοντος κλειδιού 128/128: RC4 128/128 Αναφέρεται αυτό το δευτερεύον κλειδί 128 bit RC4. Για να επιτρέψετε αυτόν τον αλγόριθμο κρυπτογράφησης, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Εάν δεν ρυθμίσετε τιςΕνεργοποιημένοη προεπιλεγμένη τιμή είναι ενεργοποιημένη. Αυτό το κλειδί μητρώου δεν ισχύει για μια δυνατότητα εξαγωγής διακομιστή ο οποίος δεν διαθέτει ένα πιστοποιητικό SGC. Disabling this algorithm effectively disallows:
Triple DES 168/168 This registry key refers to 168-bit Triple DES as specified in ANSI X9.52 and Draft FIPS 46-3. This registry key does not apply to the export version. To allow this cipher algorithm, change the DWORD value data of theΕνεργοποιημένοη τιμή για την0xffffffff, otherwise change the DWORD data to0x0. If you do not configure theΕνεργοποιημένοvalue, the default is enabled. Disabling this algorithm effectively disallows:
RC2 128/128 This registry key refers to 128-bit RC2. It does not apply to the export version. To allow this cipher algorithm, change the DWORD value data of theΕνεργοποιημένοη τιμή για την0xffffffff, otherwise change the DWORD value data to0x0. If you do not configure theΕνεργοποιημένοvalue, the default is enabled. SCHANNEL\Ciphers\RC4 64/128 Subkey: RC4 64/128 This registry key refers to 64-bit RC4. It does not apply to the export version (but is used in Microsoft Money). To allow this cipher algorithm, change the DWORD value data of theΕνεργοποιημένοη τιμή για την0xffffffff, otherwise change the DWORD value data to0x0. If you do not configure theΕνεργοποιημένοvalue, the default is enabled. SCHANNEL\Ciphers\RC4 56/128 Subkey: RC4 56/128 This registry key refers to 56-bit RC4. To allow this cipher algorithm, change the DWORD value data of theΕνεργοποιημένοη τιμή για την0xffffffff, otherwise change the DWORD value data to0x0. If you do not configure theΕνεργοποιημένοvalue, the default is enabled. Disabling this algorithm effectively disallows:
RC2 56/128 Αυτό το κλειδί μητρώου αναφέρεται RC2 56-bit. Για να επιτρέψετε αυτόν τον αλγόριθμο κρυπτογράφησης, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Εάν δεν ρυθμίσετε τιςΕνεργοποιημένοη προεπιλεγμένη τιμή είναι ενεργοποιημένη. SCHANNEL\Ciphers\RC2 56/56 δευτερεύοντος κλειδιού: DES 56/56 Αυτό το κλειδί μητρώου αναφέρεται DES 56-bit, όπως καθορίζεται στο FIPS 46-2. Η υλοποίηση στα αρχεία Rsabase.dll και στοιχείο Rsaenh.dll έχει επικυρωθεί στην περιοχή του προγράμματος επικύρωσης κρυπτογράφησης μονάδας των FIPS 140-1. Για να επιτρέψετε αυτόν τον αλγόριθμο κρυπτογράφησης, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Εάν δεν ρυθμίσετε τιςΕνεργοποιημένοη προεπιλεγμένη τιμή είναι ενεργοποιημένη. Απενεργοποίηση αποτελεσματικά αυτός ο αλγόριθμος δεν επιτρέπει:
RC4 40/128 Αυτό αναφέρεται σε 40 bit RC4. Για να επιτρέψετε αυτόν τον αλγόριθμο κρυπτογράφησης, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Εάν δεν ρυθμίσετε τιςΕνεργοποιημένοη προεπιλεγμένη τιμή είναι ενεργοποιημένη. Απενεργοποίηση αποτελεσματικά αυτός ο αλγόριθμος δεν επιτρέπει:
RC2 40/128 Αυτό το κλειδί μητρώου αναφέρεται RC2 40-bit. Για να επιτρέψετε αυτόν τον αλγόριθμο κρυπτογράφησης, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Εάν δεν ρυθμίσετε τιςΕνεργοποιημένοη προεπιλεγμένη τιμή είναι ενεργοποιημένη. Απενεργοποίηση αποτελεσματικά αυτός ο αλγόριθμος δεν επιτρέπει:
NULL Αυτό το κλειδί μητρώου σημαίνει χωρίς κρυπτογράφηση. Απενεργοποιείται από προεπιλογή. Για να απενεργοποιήσετε την κρυπτογράφηση (Απαγόρευση όλων των αλγορίθμων κρυπτογράφησης), αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. SCHANNEL/κατακερματισμοί δευτερεύοντος κλειδιούΓια ναΚλειδιά κατακερματισμούτο κλειδί μητρώου κάτω από τοSchannelτο κλειδί χρησιμοποιείται για να ελέγξετε τη χρήση αλγορίθμων κατακερματισμού SHA-1 ή MD5. Τα παρακάτω αποτελούν κλειδιά μητρώου έγκυρο τοΚλειδιά κατακερματισμούΚλειδί.SCHANNEL\Hashes\MD5 δευτερεύοντος κλειδιού: MD5 Για να επιτρέψετε αυτόν τον αλγόριθμο κατακερματισμού, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την προεπιλεγμένη τιμή0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Απενεργοποίηση αποτελεσματικά αυτός ο αλγόριθμος δεν επιτρέπει:
SHA Αυτό το κλειδί μητρώου αναφέρεται Ασφαλής αλγόριθμος Hash (SHA-1), όπως καθορίζεται στο FIPS 180-1. Η υλοποίηση στα αρχεία Rsabase.dll και στοιχείο Rsaenh.dll έχει επικυρωθεί στην περιοχή του προγράμματος επικύρωσης κρυπτογράφησης μονάδας των FIPS 140-1. Για να επιτρέψετε αυτόν τον αλγόριθμο κατακερματισμού, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την προεπιλεγμένη τιμή0xFFFFFFFF, διαφορετικά αλλάξτε τα δεδομένα τιμής DWORD σε0x0. Απενεργοποίηση αποτελεσματικά αυτός ο αλγόριθμος δεν επιτρέπει:
Δευτερεύοντος κλειδιού SCHANNEL/KeyExchangeAlgorithmsΓια ναKeyExchangeAlgorithmsτο κλειδί μητρώου κάτω από τοSchannelκλειδί χρησιμοποιείται για να ελέγξετε τη χρήση της ανταλλαγής κλειδιών αλγόριθμων όπως RSA. Τα παρακάτω αποτελούν κλειδιά μητρώου έγκυρο τοKeyExchangeAlgorithmsΚλειδί.SCHANNEL\KeyExchangeAlgorithms\PKCS δευτερεύοντος κλειδιού: PKCS Αυτό το κλειδί μητρώου αναφέρεται το RSA με τους αλγόριθμους κλειδιού ανταλλαγής και τον έλεγχο ταυτότητας. Για να επιτρέψετε RSA, αλλάξτε τα δεδομένα τιμής DWORD του τοΕνεργοποιημένοη τιμή για την προεπιλεγμένη τιμή0xFFFFFFFF, διαφορετικά να αλλάξετε τα δεδομένα DWORD0x0. Αποτελεσματική απενεργοποίηση RSA δεν επιτρέπει τις οικογένειες όλων των RSA με SSL και TLS cipher προγραμμάτων υποστηρίζεται από την υπηρεσία παροχής ασφαλείας TLS/SSL της Microsoft Windows NT4 SP6. Οικογένειες προγραμμάτων του FIPS 140-1 κρυπτογράφησηΜπορεί να θέλετε να χρησιμοποιήσετε μόνο τα SSL 3.0 ή TLS 1.0 cipher ομάδων που αντιστοιχούν με το FIPS 46-3 ή FIPS 46-2 και FIPS 180-1 αλγόριθμους που παρέχεται από τη Microsoft Base ή υπηρεσία παροχής κρυπτογράφησης Enhanced.Σε αυτό το άρθρο, αναφερόμαστε σε αυτούς ως τις οικογένειες προγραμμάτων του FIPS 140-1 cipher. Ειδικότερα, είναι:
Κύρια μυστικό υπολογισμό με FIPS 140-1 κρυπτογράφηση τις οικογένειες προγραμμάτωνΟι διαδικασίες για χρησιμοποιώντας τα παραπάνω οικογένειες προγραμμάτων FIPS 140-1 κρυπτογράφησης SSL 3.0 είναι διαφορετικά από εκείνα για χρήση (παραπάνω) FIPS 140-1 cipher τις οικογένειες προγραμμάτων TLS 1.0.Στο SSL 3.0, ακολουθεί τον υπολογισμό master_secret ορισμού: Λόγω της διαφοράς παραπάνω, πελάτες μπορεί να θέλουν να απαγορέψετε τη χρήση του SSL 3.0, παρόλο που το επιτρεπόμενο σύνολο των οικογενειών προγραμμάτων κρυπτογράφησης έχει περιοριστεί μόνο το υποσύνολο των οικογενειών προγραμμάτων του FIPS 140-1 κρυπτογράφησης. In that case, change the DWORD value data of theΕνεργοποιημένοη τιμή για την0x0in each of the following registry keys under theΠρωτόκολλαkey:
Example Registry FilesTwo examples of registry file content for purposes of configuration, Export.reg and Non-export.reg, are provided in this section of the article.In a computer running Windows NT 4.0 Service Pack 6 with the exportable Rasbase.dll and Schannel.dll files, run Export.reg to ensure that only TLS 1.0 FIPS cipher suites are used by the computer. In a computer running Windows NT 4.0 Service Pack 6 that includes the non-exportable Rasenh.dll and Schannel.dll files, run Non-export.reg to ensure that only TLS 1.0 FIPS cipher suites are used by the computer. For the Schannel.dll file to recognize any changes under theSchannelregistry key, you must restart the computer. To return the registry settings to default, delete theSchannelregistry key and everything under it. If these registry keys are not present, the Schannel.dll rebuilds the keys when you restart the computer. Οι πληροφορίες σε αυτό το άρθρο ισχύουν για:
 Μηχανικά μεταφρασμένοΣΗΜΑΝΤΙΚΟ: Αυτό το άρθρο είναι προϊόν λογισμικού μηχανικής μετάφρασης της Microsoft και όχι ανθρώπινης μετάφρασης. Η Microsoft σάς προσφέρει άρθρα που είναι προϊόντα ανθρώπινης αλλά και μηχανικής μετάφρασης έτσι ώστε να έχετε πρόσβαση σε όλα τα άρθρα της Γνωσιακής Βάσης μας στη δική σας γλώσσα. Ωστόσο, ένα άρθρο που έχει προκύψει από μηχανική μετάφραση δεν είναι πάντα άριστης ποιότητας. Ενδέχεται να περιέχει λεξιλογικά, συντακτικά ή γραμματικά λάθη, όπως ακριβώς τα λάθη που θα έκανε ένας μη φυσικός ομιλητής επιχειρώντας να μιλήσει τη γλώσσα σας. Η Microsoft δεν φέρει καμία ευθύνη για τυχόν ανακρίβειες, σφάλματα ή ζημίες που προκύψουν λόγω τυχόν παρερμηνειών στη μετάφραση του περιεχομένου ή χρήσης του από τους πελάτες της. Επίσης, η Microsoft πραγματοποιεί συχνά ενημερώσεις στο λογισμικό μηχανικής μετάφρασης. Η αγγλική έκδοση αυτού του άρθρου είναι η ακόλουθη:245030
(http://support.microsoft.com/kb/245030/en-us/
)
| Άλλοι πόροι Tοποθεσίες υποστήριξης
ΚοινότηταΆμεση λήψη βοήθειαςΜεταφράσεις άρθρων
|
Επιστροφή στην αρχή
