Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
EmailID do artigo: 245030 - Última revisão: quarta-feira, 7 de abril de 2010 - Revisão: 4.0 Como restringir o uso de certos algoritmos de criptografia e os protocolos no Schannel.dll
Nesta páginaSumárioEste artigo descreve como restringir o uso de determinados algoritmos criptográficos e protocolos do arquivo Schannel.dll. Essas informações também se aplica a aplicativos de ISV (Independent Software Vendor) escritos para o Microsoft Cryptographic API. Mais InformaçõesA seguir crypto provedores de serviço (CSPs) incluído no Windows NT 4.0 Service Pack 6 têm concedida certificados para FIPS-140-1 crypto validation
(http://csrc.nist.gov/cryptval/140-1/1401val.htm)
:
Você pode modificar o arquivo Schannel.dll para oferecer suporte à codificação Suite 1 e 2, mas o programa também deve oferecer suporte a codificação Suite 1 e 2. Não há suporte para codificação Suite 1 e 2 no IIS 4.0 e 5.0. Este artigo fornece as informações necessárias para configurar o Windows NT 4.0 Service Pack 6 e posterior TLS/SSL Security Provider. Você pode usar o registro do Windows para controlar o uso do SSL 3.0 específico ou conjuntos de cifras de TLS 1.0 respeitam para os algoritmos de criptografia suportados pelo Microsoft Base ou Enhanced Cryptographic Provider. Observação: no Windows NT 4.0 Service Pack 6, o arquivo Schannel.dll não usa o Microsoft Base DSS Cryptographic Provider (Dssbase.dll) ou o Microsoft DS, Diffie-Hellman Enhanced Cryptographic Provider (Dssenh.dll). Cipher SuitesTanto SSL 3.0 (http://www.mozilla.org/projects/security/pki/nss/ssl/draft302.txt (http://www.mozilla.org/projects/security/pki/nss/ssl/draft302.txt) ) e TLS 1.0 (RFC2246) com a INTERNET-rascunho "suítes de codificação de exportação de 56 bits para TLS draft-ietf-tls-56-bit-ciphersuites-00.txt" oferecem opções para usar o conjunto de codificação diferente. Cada conjunto de codificação determina a troca de chaves, autenticação, criptografia e MAC os algoritmos usados em uma sessão SSL/TLS. Observe que ao usar RSA como troca de chave e algoritmos de autenticação, o termo RSA aparece apenas uma vez nas definições de conjunto de codificação correspondente.O Windows NT 4.0 Service Pack 6 Microsoft TLS/SSL provedor de segurança oferece suporte a seguir "CipherSuite" definido no SSL 3.0 quando você usar o Microsoft Base ou Enhanced Cryptographic Provider: Recolher esta tabela
Windows NT 4.0 Service Pack 6 Microsoft TLS/SSL Security Provider também suporta o seguinte "CipherSuite" definida no TLS 1.0 ao usar o Microsoft Base ou Enhanced Cryptographic Provider: Recolher esta tabela
Chaves de registro específicas SchannelImportante Nesta seção, método ou tarefa contém etapas que informam sobre como modificar o registro. No entanto, sérios problemas poderão ocorrer se você modificar o registro incorretamente. Portanto, certifique-se de seguir estas etapas cuidadosamente. Para obter mais proteção, faça backup do registro antes de modificá-lo. Em seguida, você poderá restaurar o registro se ocorrer um problema. Para obter mais informações sobre como fazer backup e restaurar o registro, clique no número abaixo para ler o artigo na Base de dados de Conhecimento da Microsoft:322756
(http://support.microsoft.com/kb/322756/
)
Como fazer backup e restaurar o registro no Windows Chave SCHANNELInicie o Editor do registro (Regedt32.exe) e localize a seguinte chave no registro.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL SubKey SCHANNEL\ProtocolsPara ativar o uso de protocolos que não será negociado por padrão (como TLS 1.1 ou TLS 1.2), altere os dados do valor DWORD do valor DisabledByDefault para 0 x 0 em cada uma das seguintes chaves do registro sob a chave de protocolos:
Subchave SCHANNEL\CiphersA chave do registro de codificações na chave SCHANNEL é usada para controlar o uso de algoritmos simétricos como o DES ou o RC4. Estas são as chaves de registro válido sob a chave de codificações.SCHANNEL\Ciphers\RC4 subchave 128/128: RC4 128/128 Essa subchave refere-se ao RC4 de 128 bits. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Essa chave do registro não se aplica a um servidor exportável não possui um certificado SGC. Não permite desabilitar esse algoritmo com eficiência:
DES triplo 168/168 Essa chave do registro se refere ao DES triplo de 168 bits conforme especificado em ANSI X9.52 e rascunho FIPS 46-3. Essa chave do registro não é válido para a versão de exportação. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Não permite desabilitar esse algoritmo com eficiência:
RC2 128/128 Essa chave do registro refere-se ao RC2 de 128 bits. Não se aplica à versão de exportação. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. SCHANNEL\Ciphers\RC4 subchave 64/128: RC4 64/128 Essa chave do registro se refere a 64-bit RC4. Ele não é válido para a versão de exportação (mas é usado no Microsoft Money). Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. SCHANNEL\Ciphers\RC4 subchave 56/128: RC4 56/128 Essa chave do registro se refere ao RC4 de 56 bits. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Não permite desabilitar esse algoritmo com eficiência:
RC2 56/128 Essa chave do registro refere-se ao RC2 de 56 bits. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. SCHANNEL\Ciphers\RC2 56/56 SubKey: DES DE 56/56 Essa chave do registro se refere a DES de 56 bits conforme especificado no FIPS 46-2. Sua implementação nos arquivos Rsabase.dll e Rsaenh.dll foi validada sob o programa de validação de módulo criptografia FIPS 140-1. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Não permite desabilitar esse algoritmo com eficiência:
RC4 40/128 Refere-se ao RC4 de 40 bits. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Não permite desabilitar esse algoritmo com eficiência:
RC2 40/128 Essa chave do registro refere-se ao RC2 de 40 bits. Para permitir que esse algoritmo de codificação, altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Se você não definir o valor de ativado, o padrão é ativado. Não permite desabilitar esse algoritmo com eficiência:
NULO Essa chave do registro significa sem criptografia. Ela é desativada por padrão. Para desativar a criptografia (impedir que todos os algoritmos de codificação), altere o dado do valor DWORD do valor de Enabled para 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Subchave SCHANNEL/hashesA chave de registro hashes sob a chave SCHANNEL é usada para controlar o uso de algoritmos de hash como SHA-1 ou MD5. Estas são as chaves de registro válido sob a chave de hash.SCHANNEL\Hashes\MD5 SubKey: MD5 Para permitir que esse algoritmo de hash, altere o dado do valor DWORD do valor de ativado para o padrão valor 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Não permite desabilitar esse algoritmo com eficiência:
SHA Essa chave do registro refere-se ao algoritmo de hash seguro (SHA-1), conforme especificado no FIPS 180-1. Sua implementação nos arquivos Rsabase.dll e Rsaenh.dll foi validada sob o programa de validação de módulo criptografia FIPS 140-1. Para permitir que esse algoritmo de hash, altere o dado do valor DWORD do valor de ativado para o padrão valor 0xffffffff, caso contrário, altere os dados do valor DWORD para 0 x 0. Não permite desabilitar esse algoritmo com eficiência:
Subchave SCHANNEL/KeyExchangeAlgorithmsA chave de registro KeyExchangeAlgorithms sob a chave SCHANNEL é usada para controlar o uso de algoritmos de troca de chaves como RSA. Estas são as chaves de registro válido na chave KeyExchangeAlgorithms.SCHANNEL\KeyExchangeAlgorithms\PKCS SubKey: PKCS Essa chave do registro se refere a RSA como algoritmos de autenticação e troca de chaves. Para permitir que a RSA, altere o dado do valor DWORD do valor de ativado para o padrão valor 0xffffffff, caso contrário, altere os dados DWORD para 0 x 0. Desativar RSA efetivamente proíbe todas baseadas em RSA SSL e TLS conjunto de codificação suportado pelo Windows NT4 SP6 Microsoft TLS/SSL Security Provider. FIPS 140-1 Cipher SuitesConvém usar somente essas 3.0 SSL ou TLS 1.0 conjunto de codificação que correspondem ao FIPS 46-3 ou FIPS 46-2 e algoritmos de 180-1 FIPS fornecidos pelo Microsoft Base ou Enhanced Cryptographic Provider.Neste artigo, nos referimos a eles como FIPS 140-1 cipher conjuntos. Especificamente, elas são:
Computação segredo mestre usando FIPS 140-1 Cipher SuitesOs procedimentos para usar o conjunto de codificação de 140-1 FIPS acima do SSL 3.0 são diferentes de uso (acima) FIPS conjuntos de cifras de 140-1 em TLS 1.0.No SSL 3.0, a seguir está a computação de master_secret definição: Por causa da diferença acima, os clientes talvez queira proibir o uso do SSL 3.0, mesmo que o conjunto de conjuntos de codificação permitido foi limitado a apenas o subconjunto FIPS 140-1 conjuntos de codificação. Nesse caso, altere o dado do valor DWORD do valor de Enabled para 0 x 0 em cada uma das seguintes chaves do registro sob a chave de protocolos:
Arquivo de registro de exemploDois exemplos de conteúdo do arquivo do registro para fins de configuração, Export.reg e não-export.reg são fornecidos nesta seção do artigo.Em um computador executando Windows NT 4.0 Service Pack 6 com os exportáveis Rasbase.dll e Schannel.dll arquivos, executados Export.reg para garantir que apenas conjuntos de cifras de TLS 1.0 FIPS são usados pelo computador. Em um computador executando Windows NT 4.0 Service Pack 6 que inclui Rasenh.dll não exportável e arquivos Schannel.dll, executados não-export.reg para garantir que somente o TLS 1.0 FIPS cipher suites são usados pelo computador. Para o arquivo Schannel.dll reconhecer qualquer alteração na chave do Registro SCHANNEL, reinicie o computador. Para retornar as configurações do registro para o padrão, exclua a chave de registro SCHANNEL e tudo sob ele. Se essas chaves do registro não estiverem presentes, o Schannel.dll recria as chaves ao reiniciar o computador. A informação contida neste artigo aplica-se a:
 Tradução automáticaIMPORTANTE: Este artigo foi traduzido por um sistema de tradução automática (também designado por Machine Translation ou MT), não tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplicações (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em português a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradução automática não é sempre perfeita, podendo conter erros de vocabulário, sintaxe ou gramática. A Microsoft não é responsável por incoerências, erros ou prejuízos ocorridos em decorrência da utilização dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualizações freqüentes ao software de tradução automática (MT). Obrigado. Clique aqui para ver a versão em Inglês deste artigo: 245030
(http://support.microsoft.com/kb/245030/en-us/
)
| Outros Recursos Outros Sites de Suporte
ComunidadesObtenha Ajuda AgoraTraduções deste artigo
|
Voltar para o início
