Aktualizace, která povolí tls 1.1 a TLS 1.2 jako výchozí zabezpečené protokoly v protokolu WinHTTP ve Windows

O této aktualizaci

Aplikace a služby, které jsou napsané pomocí protokolu WinHTTP pro připojení protokol SSL (Secure Sockets Layer) (SSL), která používají příznak WINHTTP_OPTION_SECURE_PROTOCOLS, nelyžou protokoly TLS 1.1 nebo TLS 1.2. Je to proto, že definice tohoto příznaku nezahrnuje tyto aplikace a služby.

Tato aktualizace přidává podporu položky registru DefaultSecureProtocols, která umožňuje správce systému určit, které protokoly SSL se mají použít při použití WINHTTP_OPTION_SECURE_PROTOCOLS příznaku.

To může povolit, aby určité aplikace vytvořené pro použití výchozího příznaku WinHTTP mohly používat novější protokoly TLS 1.2 nebo TLS 1.1 nativně bez nutnosti aktualizace aplikace.

To se může v některých aplikacích Microsoft Office při otevření dokumentů z sharepointové knihovny nebo webové složky, překladů IP-HTTPS pro připojení DirectAccess a jiných aplikací pomocí technologií, jako je Webový klient, pomocí funkce WebDav, WinRM a dalších aplikací.

Tato aktualizace vyžaduje, aby byla komponenta Zabezpečeného kanálu (Schannel) ve Windows 7 nakonfigurovaná tak, aby podporovala TLS 1.1 a 1.2. Protože tyto verze protokolů nejsou ve Windows 7 ve výchozím nastavení povolené, je nutné nakonfigurovat nastavení registru tak, aby aplikace Office měly možnost úspěšně používat TLS 1.1 a 1.2.

Tato aktualizace nezmění chování aplikací, které ručně nastavovat zabezpečené protokoly místo toho, aby se předaly výchozí příznak.

Jak získat tuto aktualizaci

Důležité Pokud po instalaci této aktualizace nainstalujete jazykovou sadu, musíte tuto aktualizaci přeinstalovat. Proto doporučujeme, abyste si před instalací této aktualizace nainstalují všechny jazykové sady, které potřebujete. Další informace najdete v článku Přidání jazykových sad do Windows.

Metoda 1: Windows Update

Tato aktualizace se poskytuje jako doporučená aktualizace ve Windows Update. Další informace o tom, jak spustit službu Windows Update, najdete v článku Jak získat aktualizaci přes Windows Update.

Metoda 2: Katalog služby Microsoft Update

Pokud chcete získat samostatný balíček pro tuto aktualizaci, přejděte na web katalogu služby Microsoft Update.

Aktualizace podrobných informací

Požadavky

Pokud chcete použít tuto aktualizaci, musíte Service Pack 1 pro Windows 7 nebo Windows Server 2008 R2.

Není nutné tuto aktualizaci použít ve Windows Serveru 2012.

Informace v registru

Chcete-li použít tuto aktualizaci, je nutné přidat podklíč registru DefaultSecureProtocols.
Poznámka Můžete to udělat tak, že podklíč registru přidáte ručně nebo nainstalujete"Easy Fix"k naplnění podklíče registru.

Požadavky na restartování

Po instalaci této aktualizace bude pravděpodobně nutné restartovat počítač.

Informace o nahrazení aktualizace

Tato aktualizace nenahradí dříve vydanou aktualizaci.

Další informace

Pro odvětví platebních karet (PCI) se kvůli dodržování předpisů vyžaduje TLS 1.1 nebo TLS 1.2.

Další informace o tomto příznaku WINHTTP_OPTION_SECURE_PROTOCOLS v tématu Příznaky možností.

Jak funguje položka registru DefaultSecureProtocols

Důležité Tato část, metoda nebo úkol obsahuje kroky, které popisují úpravu registru. Úprava registru nesprávným způsobem může způsobit vážné problémy. Proto vždy pečlivě zkontrolujte, jestli postupujete přesně podle těchto kroků. Jako dodatečnou ochranu registr před úpravami zálohujte. Potom můžete v případě problému registr obnovit. Další informace o tom, jak zálohovat a obnovit registr, najdete v článku Jak zálohovat a obnovit registr systému Windows.

Pokud aplikace určuje WINHTTP_OPTION_SECURE_PROTOCOLS, systém zkontroluje položku registru DefaultSecureProtocols a pokud je k dispozici, přepíše výchozí protokoly určené aplikací WINHTTP_OPTION_SECURE_PROTOCOLS protokoly zadanými v položce registru. Pokud položka registru není k dispozici, použije winHTTP existující výchozí nastavení operačního systému pro Win WINHTTP_OPTION_SECURE_PROTOCOLS HTTP. Tyto výchozí hodnoty WinHTTP dodržují existující pravidla priority a jsou přijímána zakázanými protokoly a protokoly pro SCHANNEL nastavenými pro každou aplikaci podle WinHttpSetOption.

PoznámkaInstalační program opravy hotfix nepřidá hodnotu DefaultSecureProtocols. Po určení protokolů pro přepsání musí správce položku přidat ručně. Nebo můžete nainstalovat aplikaciEasy Fix apřidat tak položku automaticky.

Položku registru DefaultSecureProtocols lze přidat do následující cesty:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp

Na počítačích s x64 musí být do cesty Wow6432Node přidán také defaultSecureProtocols:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp

Hodnota registru je rastrový obrázek typu DWORD. Požadovaná hodnota se určí přičtem hodnot odpovídajících požadovaným protokolům.

DefaultSecureProtocols Value	Protokol povolený
0x00000008	Ve výchozím nastavení je protokol SSL 2.0 povolen.
0x00000020	Ve výchozím nastavení je protokol SSL 3.0 povolen.
0x00000080	Ve výchozím nastavení je protokol TLS 1.0 povolen.
0x00000200	Ve výchozím nastavení je protokol TLS 1.1 povolen.
0x00000800	Ve výchozím nastavení je protokol TLS 1.2 povolen.

Příklad:

Správce chce přepsat výchozí hodnoty pro nastavení WINHTTP_OPTION_SECURE_PROTOCOLS 1.1 a TLS 1.2.

Vezměte jako hodnotu TLS 1.1 (0x00000200) a hodnotu TLS 1.2 (0x00000800), přidejte je dohromady na kalkulačce (v programátorském režimu) a výsledná hodnota registru bude 0x00000A00.

Snadná oprava

Chcete-li automaticky přidat podklíč registru DefaultSecureProtocols, klikněte sem. V dialogovém okně Stažení souboru klikněte na položku Spustit nebo Otevřít a postupujte podle kroků v průvodci.

Poznámky

Tento průvodce může být dostupný jenom v angličtině. Tato automatická oprava však funguje i pro ostatní jazykové verze systému Windows.
Pokud nejste na počítači, kde je problém, uložte jednoduché řešení na flash disk nebo CD a pak ho spusťte na počítači, kde je problém.

PoznámkaKromě podklíče registru DefaultSecureProtocols přidá aplikace Easy Fix také do následujícího umístění protokoly SecureProtocols, aby bylo možné povolit protokoly TLS 1.1 a 1.2 pro aplikaci Internet Explorer.

Položka registru SecureProtocols s hodnotou 0xA80 pro povolení tls 1.1 a 1.2 se přidá do následujících cest:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings

Povolení protokolu TLS 1.1 a 1.2 ve Windows 7 na úrovni komponenty SChannel

V článku s nastavením TLS-SSLplatí, že pokud chcete ve Windows 7 povolit a vyjednat TLS 1.1 a 1.2, musíte vytvořit položku DisabledByDefault v příslušném podklíči (klientovi) a nastavit ji na hodnotu 0. Tyto podklíče nebudou vytvořeny v registru, protože tyto protokoly jsou ve výchozím nastavení zakázané.

Vytvořte potřebné podklíče pro šifrování TLS 1.1 a 1.2. vytvořte hodnoty DisabledByDefault DWORD a nastavte ji na hodnotu 0 v následujících umístěních:

Pro TLS 1.1

Umístění registru: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client
Název DWORD: DisabledByDefault
Hodnota DWORD: 0

Pro TLS 1.2

Umístění registru: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1,2\Client
Název DWORD: DisabledByDefault
Hodnota DWORD: 0

Informace o souboru

Anglická verze tohoto softwaru (Spojené státy) nainstaluje soubory, které mají atributy uvedené v následujících tabulkách.

Windows 7 a Windows Server 2008 R2

Poznámky:

Soubory, které se vztahují k určitému produktu, milníku (RTM, SPn)a větvi služeb (LDR, GDR), se možné identifikovat tak, že se v systému nachází čísla verzí souborů, jak ukazuje následující tabulka.

Verze	Produkt	Verze	Složka služby
6.1.760 1.23 xxx	Windows 7 nebo Windows Server 2008 R2	SP1	LDR

Větve služby GDR obsahují pouze opravy, které byly veřejně vydány k odstranění rozšířených nejdůležitějších problémů. Větve služby LDR obsahují kromě veřejně vydaných oprav také opravy hotfix.
Soubory MANIFEST (.manifest) a soubory FILES (.tox), které jsou nainstalované v každém prostředí, jsou uvedené v části Další informace o souboru. FUNKCE, MANIFEST a související soubory katalogu zabezpečení (.cat) jsou velmi důležité pro zachování stavu aktualizovaných součástí. Soubory katalogu zabezpečení, pro něž nejsou uvedeny atributy, jsou podepsané digitálním podpisem společnosti Microsoft.

x86 Windows 7

Název souboru	File version	File size	Date	Time	Platform
Webio.dll	6.1.7601.23375	316,416	09.03.2016	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	09.03.2016	18:40	x86

ia64 Windows Server 2008 R2

Název souboru	File version	File size	Date	Time	Platform
Webio.dll	6.1.7601.23375	695,808	09.03.2016	17:57	IA-64
Winhttp.dll	6.1.7601.23375	811,520	09.03.2016	17:57	IA-64
Webio.dll	6.1.7601.23375	316,416	09.03.2016	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	09.03.2016	18:40	x86

x64 Windows 7 a Windows Server 2008 R2

Název souboru	File version	File size	Date	Time	Platform
Webio.dll	6.1.7601.23375	396,800	09.03.2016	19:00	x64
Winhttp.dll	6.1.7601.23375	444,416	09.03.2016	19:00	x64
Webio.dll	6.1.7601.23375	316,416	09.03.2016	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	09.03.2016	18:40	x86

Windows Server 2012