TLS 1.2-Unterstützung für Microsoft SQL Server

Gilt für: SQL Server
Ursprüngliche KB-Nummer: 3135244

Einführung

Dieser Artikel enthält Informationen zu den Updates, die Microsoft veröffentlicht, um TLS 1.2-Unterstützung für SQL Server 2017 unter Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 und SQL Server 2008 R2 zu aktivieren. In diesem Artikel werden auch unterstützte Clientanbieter aufgeführt. SQL Server 2016, SQL Server 2017 und SQL Server 2019 unterstützen TLS 1.2, ohne dass ein Update erforderlich ist.

Es wurden mehrere bekannte Sicherheitsrisiken für Secure Sockets Layer (SSL) und frühere Versionen von Transport Layer Security (TLS) gemeldet. Es wird empfohlen, für eine sichere Kommunikation ein Upgrade auf TLS 1.2 durchzuführen.

So erfahren Sie, ob Sie dieses Update benötigen

Anhand der folgenden Tabelle können Sie ermitteln, ob Ihre aktuelle Version von SQL Server tls 1.2 bereits unterstützt oder ob Sie ein Update herunterladen müssen, um tls 1.2-Unterstützung zu aktivieren. Verwenden Sie die Downloadlinks in der Tabelle, um die Serverupdates abzurufen, die für Ihre Umgebung gelten.

Clientkomponentendownloads

Verwenden Sie die folgende Tabelle, um die Clientkomponenten und Treiberupdates herunterzuladen, die für Ihre Umgebung gelten.

Zusätzliche Korrekturen für SQL Server zur Verwendung von TLS 1.2 erforderlich

Sie müssen die folgenden .NET-Hotfixrollups installieren, um SQL Server Features wie Datenbank-E-Mail und bestimmte SSIS-Komponenten zu ermöglichen, die .NET-Endpunkte verwenden, die TLS 1.2-Unterstützung erfordern, z. B. der Webdiensttask für die Verwendung von TLS 1.2.

Häufig gestellte Fragen

• Wird TLS 1.1 unter SQL Server 2016 und höheren Versionen unterstützt?

  Ja. SQL Server 2016, SQL Server 2017 unter Windows und SQL Server 2019 unter Windows werden mit TLS 1.0 bis TLS 1.2-Unterstützung ausgeliefert. Sie müssen TLS 1.0 und 1.1 deaktivieren, wenn Sie nur TLS 1.2 für die Client-Server-Kommunikation verwenden möchten.

• Lässt SQL Server 2019 Verbindungen mit TLS 1.0 oder 1.1 oder nur 1.2 zu?

  SQL Server 2019 bietet die gleiche Unterstützung wie SQL Server 2016 und SQL Server 2017, und SQL Server 2019 unterstützt ältere Versionen von TLS. SQL Server 2019 RTM wird mit TLS 1.2-Unterstützung ausgeliefert, und es ist kein anderes Update oder Fix erforderlich, um TLS 1.2-Unterstützung zu aktivieren.

• Ist TDS von bekannten Sicherheitsrisiken betroffen?

  Es wurden keine bekannten Sicherheitsrisiken für die Microsoft TDS-Implementierung gemeldet. Da mehrere Organisationen zur Durchsetzung von Standards die Verwendung von TLS 1.2 für verschlüsselte Kommunikationskanäle vorgeschrieben haben, veröffentlicht Microsoft unterstützung für TLS 1.2 für die weit verbreitete SQL Server Installationsbasis.

• Wie werden die TLS 1.2-Updates an Kunden verteilt?

  Dieser Artikel enthält Downloadlinks für die entsprechenden Server- und Clientupdates, die TLS 1.2 unterstützen.

• Unterstützt TLS 1.2 SQL Server 2005?

  TLS 1.2-Unterstützung wird nur für SQL Server 2008 und höhere Versionen angeboten.

• Sind Kunden, die SSL/TLS nicht verwenden, betroffen, wenn SSL 3.0 und TLS 1.0 auf dem Server deaktiviert sind?

  Ja. SQL Server verschlüsselt den Benutzernamen und das Kennwort während der Anmeldung, auch wenn kein sicherer Kommunikationskanal verwendet wird. Dieses Update ist für alle SQL Server-Instanzen erforderlich, die keine sichere Kommunikation verwenden und für die alle anderen Protokolle außer TLS 1.2 auf dem Server deaktiviert sind.

• Welche Versionen von Windows Server unterstützen TLS 1.2?

  Windows Server 2008 R2 und höhere Versionen unterstützen TLS 1.2.

• Was ist die richtige Registrierungseinstellung, um TLS 1.2 für SQL Server Kommunikation zu aktivieren?

  Die richtigen Registrierungseinstellungen sind wie folgt:

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Diese Einstellungen sind sowohl für Server- als auch für Clientcomputer erforderlich. Die DisabledByDefault Einstellungen und Enabled müssen auf Windows 7-Clients und Windows Server 2008 R2-Servern erstellt werden. Auf Windows 8 und höheren Versionen der Clientbetriebssysteme oder Windows Server 2012 Server und höheren Versionen der Serverbetriebssysteme sollte TLS 1.2 bereits aktiviert sein. Wenn Sie eine Bereitstellungsrichtlinie für die Windows-Registrierung implementieren, die unabhängig von der Betriebssystemversion sein muss, empfehlen wir, der Richtlinie die erwähnten Registrierungsschlüssel hinzuzufügen. Wenn Sie Datenbank-E-Mail auf Ihrem SQL Server verwenden, müssen Sie außerdem die folgenden .NET-Registrierungsschlüssel festlegen:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Bekannte Probleme

• Problem 1

  SQL Server Management Studio (SSMS), Berichtsserver und Berichts-Manager stellen keine Verbindung mit der Datenbank-Engine her, nachdem Sie die Korrektur für SQL Server 2008, 2008 R2, 2012 oder 2014 angewendet haben. Berichtsserver und Berichts-Manager schlagen fehl und geben die folgende Fehlermeldung zurück:

  Der Berichtsserver kann keine Verbindung mit der Berichtsserver-Datenbank herstellen. Für alle Anforderungen und Verarbeitungen ist eine Verbindung mit der Datenbank erforderlich. (rsReportServerDatabaseUnavailable)

  Dieses Problem tritt auf, weil SSMS, Berichts-Manager und Reporting Services Configuration Manager ADO.NET verwenden und ADO.NET Unterstützung für TLS 1.2 nur im .NET Framework 4.6 verfügbar ist. Für frühere Versionen des .NET Framework müssen Sie ein Windows-Update anwenden, damit ADO.NET die TLS 1.2-Kommunikation für den Client unterstützen können. Die Windows-Updates, die TLS 1.2-Unterstützung in früheren Versionen von .NET Framework aktivieren, sind in der Tabelle im Abschnitt Gewusst, ob Sie dieses Update benötigen aufgeführt.

• Problem 2

  Reporting Services Configuration Manager meldet die folgende Fehlermeldung, auch nachdem Clientanbieter auf eine Version aktualisiert wurden, die TLS 1.2 unterstützt:

  Verbindung mit Server konnte nicht hergestellt werden: Eine Verbindung mit dem Server wurde erfolgreich hergestellt, aber dann ist während des Handshakes vor der Anmeldung ein Fehler aufgetreten.

  

  Um dieses Problem zu beheben, erstellen Sie manuell den folgenden Registrierungsschlüssel auf dem System, das die Reporting Services Configuration Manager hostet:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Problem 3

  Die verschlüsselte Endpunktkommunikation, die TLS 1.2 verwendet, schlägt fehl, wenn Sie die verschlüsselte Kommunikation für Verfügbarkeitsgruppen, Datenbankspiegelung oder Service Broker in SQL Server verwenden. Eine Fehlermeldung, die der folgenden ähnelt, wird im SQL-Fehlerprotokoll protokolliert:

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Weitere Informationen zu diesem Problem finden Sie unter FIX: Die verschlüsselte Endpunktkommunikation mit TLS 1.2 schlägt fehl, wenn Sie SQL Server verwenden.

• Problem 4

  Verschiedene Fehler treten auf, wenn Sie versuchen, SQL Server 2012 oder SQL Server 2014 auf einem Server zu installieren, auf dem TLS 1.2 aktiviert ist.

  Weitere Informationen finden Sie unter FIX: Error when you install SQL Server 2012 or SQL Server 2014 on a server that has TLS 1.2 enabled.

• Problem 5

  Eine verschlüsselte Verbindung mit Datenbankspiegelung oder Verfügbarkeitsgruppen funktioniert nicht, wenn Sie ein Zertifikat verwenden, nachdem Sie alle anderen Protokolle außer TLS 1.2 deaktiviert haben. Eine Fehlermeldung, die der folgenden ähnelt, wird im SQL Server Fehlerprotokoll protokolliert:

  Eine verschlüsselte Verbindung mit Datenbankspiegelung oder Verfügbarkeitsgruppen funktioniert nicht, wenn Sie ein Zertifikat verwenden, nachdem Sie alle anderen Protokolle außer TLS 1.2 deaktiviert haben. Möglicherweise bemerken Sie eines der folgenden Symptome:

  • Symptom 1:

    Eine Fehlermeldung, die der folgenden ähnelt, wird im SQL Server Fehlerprotokoll protokolliert:

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Symptom 2:

    Eine Fehlermeldung, die der folgenden ähnelt, wird im Windows-Ereignisprotokoll protokolliert:

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Dieses Problem tritt auf, weil Verfügbarkeitsgruppen und die Datenbankspiegelung ein Zertifikat erfordern, das keine Hashalgorithmen mit fester Länge verwendet, z. B. MD5. Hashalgorithmen mit fester Länge werden in TLS 1.2 nicht unterstützt.

  Weitere Informationen finden Sie unter FIX: Kommunikation mit MD5-Hashalgorithmus schlägt fehl, wenn SQL Server TLS 1.2 verwendet.

• Problem 6

  Die folgenden SQL Server Datenbank-Engine-Versionen sind von der zeitweiligen Dienstbeendigung betroffen, die im Knowledge Base-Artikel 3146034 gemeldet wird. Kunden, die sich vor dem Problem mit der Dienstbeendigung schützen können, empfehlen wir, die TLS 1.2-Updates für SQL Server zu installieren, die in diesem Artikel erwähnt werden, wenn ihre SQL Server Version in der folgenden Tabelle aufgeführt ist:

  SQL Server Release	Betroffene Version
  SQL Server 2008 R2 SP3 (x86 und x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (nur IA-64)	10.50.4046.0
  SQL Server 2008 R2 SP2 (nur IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 und x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (nur IA-64)	10.0.5544.0
  SQL Server 2008 SP3 (nur IA-64)	10.0.5894.0

• Problem 7

  Datenbank-E-Mail funktioniert nicht mit TLS 1.2. Datenbank-E-Mail schlägt mit dem folgenden Fehler fehl:

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: E-Mail-Konfigurationsinformationen konnten nicht aus der Datenbank gelesen werden. Die E-Mail-Sitzung kann nicht gestartet werden.

  Weitere Informationen finden Sie unter Zusätzliche Korrekturen, die für SQL Server zur Verwendung von TLS 1 erforderlich sind.

Häufige Fehler, die auftreten können, wenn TLS 1.2-Updates auf dem Client oder Server fehlen

Problem 1

System Center Configuration Manager (SCCM) kann keine Verbindung mit SQL Server herstellen, nachdem das TLS 1.2-Protokoll auf SQL Server aktiviert wurde. In dieser Situation wird die folgende Fehlermeldung angezeigt:

TCP-Anbieter: Eine vorhandene Verbindung wurde vom Remotehost erzwungen geschlossen.

Dieses Problem kann auftreten, wenn SCCM einen SQL Server Native Client Treiber verwendet, der keine Korrektur enthält. Um dieses Problem zu beheben, laden Sie die Clientkorrektur herunter, die im Abschnitt Clientkomponentendownloads aufgeführt ist, und installieren Sie sie. Beispiel: Microsoft® SQL Server ® 2012 Native Client – QFE.

Sie können herausfinden, welchen Treiber SCCM verwendet, um eine Verbindung mit SQL Server herzustellen, indem Sie das SCCM Protokoll anzeigen, wie im folgenden Beispiel gezeigt:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>