Compatibilidad con TLS 1.2 para Microsoft SQL Server

Se aplica a: SQL Server
Número de KB original: 3135244

Introducción

En este artículo se proporciona información sobre las actualizaciones que Microsoft publica para habilitar la compatibilidad con TLS 1.2 para SQL Server 2017 en Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 y SQL Server 2008 R2. En este artículo también se enumeran los proveedores de cliente admitidos. SQL Server 2016, SQL Server 2017 y SQL Server 2019 admiten TLS 1.2 sin necesidad de una actualización.

Se han notificado varias vulnerabilidades conocidas en Capa de sockets seguros (SSL) y versiones anteriores de Seguridad de la capa de transporte (TLS). Se recomienda actualizar a TLS 1.2 para una comunicación segura.

Cómo saber si necesita esta actualización

Use la tabla siguiente para determinar si la versión actual de SQL Server ya admite TLS 1.2 o si tiene que descargar una actualización para habilitar la compatibilidad con TLS 1.2. Use los vínculos de descarga de la tabla para obtener las actualizaciones del servidor que son aplicables a su entorno.

Descargas de componentes de cliente

Use la tabla siguiente para descargar los componentes de cliente y las actualizaciones de controladores aplicables a su entorno.

Correcciones adicionales necesarias para que SQL Server use TLS 1.2

Tiene que instalar los siguientes paquetes acumulativos de revisiones de .NET para habilitar SQL Server características como Correo electrónico de base de datos y determinados componentes de SSIS que usan puntos de conexión de .NET que requieren compatibilidad con TLS 1.2, como la tarea Servicio web para usar TLS 1.2.

Preguntas más frecuentes

• ¿Se admite TLS 1.1 en SQL Server 2016 y versiones posteriores?

  Sí. SQL Server 2016, SQL Server 2017 en Windows y SQL Server 2019 en versiones de Windows se incluyen con compatibilidad con TLS 1.0 a TLS 1.2. Tiene que deshabilitar TLS 1.0 y 1.1 si desea usar solo TLS 1.2 para la comunicación cliente-servidor.

• ¿SQL Server 2019 permite conexiones mediante TLS 1.0 o 1.1 o solo 1.2?

  SQL Server 2019 tiene el mismo nivel de compatibilidad que SQL Server 2016 y SQL Server 2017, y SQL Server 2019 admite versiones anteriores de TLS. SQL Server RTM 2019 se incluye con compatibilidad con TLS 1.2 y no se requiere ninguna otra actualización o corrección para habilitar la compatibilidad con TLS 1.2.

• ¿El TDS se ve afectado por vulnerabilidades conocidas?

  No se han notificado vulnerabilidades conocidas para la implementación de Microsoft TDS. Dado que varias organizaciones de cumplimiento de estándares exigen el uso de TLS 1.2 para canales de comunicación cifrados, Microsoft publica compatibilidad con TLS 1.2 para la base de instalación de SQL Server generalizada.

• ¿Cómo se distribuirán las actualizaciones de TLS 1.2 a los clientes?

  En este artículo se proporcionan vínculos de descarga para las actualizaciones de cliente y servidor adecuadas que admiten TLS 1.2.

• ¿TLS 1.2 admite SQL Server 2005?

  La compatibilidad con TLS 1.2 solo se ofrece para SQL Server 2008 y versiones posteriores.

• ¿Se ven afectados los clientes que no usan SSL/TLS si SSL 3.0 y TLS 1.0 están deshabilitados en el servidor?

  Sí. SQL Server cifra el nombre de usuario y la contraseña durante el inicio de sesión, incluso si no se usa un canal de comunicación seguro. Esta actualización es necesaria para todas las instancias de SQL Server que no usan comunicaciones seguras y que tienen todos los demás protocolos, excepto TLS 1.2 deshabilitado en el servidor.

• ¿Qué versiones de Windows Server admiten TLS 1.2?

  Windows Server 2008 R2 y versiones posteriores admiten TLS 1.2.

• ¿Cuál es la configuración correcta del Registro para habilitar TLS 1.2 para SQL Server comunicación?

  La configuración correcta del Registro es la siguiente:

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Esta configuración es necesaria para los equipos de servidor y cliente. La DisabledByDefault configuración y Enabled deben crearse en clientes de Windows 7 y servidores de Windows Server 2008 R2. En Windows 8 y versiones posteriores de los sistemas operativos cliente o Windows Server 2012 servidor y versiones posteriores de los sistemas operativos del servidor, TLS 1.2 ya debe estar habilitado. Si va a implementar una directiva de implementación para el Registro de Windows que debe ser independiente de la versión del sistema operativo, se recomienda agregar las claves del Registro mencionadas a la directiva. Además, si usa Correo electrónico de base de datos en el SQL Server, también debe establecer las siguientes claves del Registro de .NET:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Problemas conocidos

• Problema 1

  SQL Server Management Studio (SSMS), el servidor de informes y el Administrador de informes no se conectan al motor de base de datos después de aplicar la corrección para SQL Server 2008, 2008 R2, 2012 o 2014. El servidor de informes y el Administrador de informes producen un error y devuelven el siguiente mensaje de error:

  El servidor de informes no puede abrir una conexión a la base de datos del servidor de informes. Se requiere una conexión a la base de datos para todas las solicitudes y el procesamiento. (rsReportServerDatabaseUnavailable)

  Este problema se produce porque SSMS, el Administrador de informes y Reporting Services Configuration Manager usan ADO.NET y ADO.NET compatibilidad con TLS 1.2 solo está disponible en .NET Framework 4.6. En versiones anteriores de .NET Framework, debe aplicar una actualización de Windows para que ADO.NET pueda admitir comunicaciones TLS 1.2 para el cliente. Las actualizaciones de Windows que habilitan la compatibilidad con TLS 1.2 en versiones anteriores de .NET Framework se enumeran en la tabla de la sección Cómo saber si necesita esta actualización .

• Problema 2

  Reporting Services Configuration Manager notifica el siguiente mensaje de error incluso después de que los proveedores de cliente se hayan actualizado a una versión compatible con TLS 1.2:

  No se pudo conectar al servidor: se estableció correctamente una conexión con el servidor, pero se produjo un error durante el protocolo de enlace anterior al inicio de sesión.

  

  Para resolver este problema, cree manualmente la siguiente clave del Registro en el sistema que hospeda el Reporting Services Configuration Manager:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Problema 3

  Se produce un error en la comunicación de punto de conexión cifrada que usa TLS 1.2 cuando se usan comunicaciones cifradas para grupos de disponibilidad, creación de reflejo de la base de datos o Service Broker en SQL Server. Se registra un mensaje de error similar al siguiente en el registro de errores de SQL:

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Para obtener más información sobre este problema, vea FIX: La comunicación de punto de conexión cifrada con TLS 1.2 produce un error al usar SQL Server.

• Problema 4

  Se producen varios errores al intentar instalar SQL Server 2012 o SQL Server 2014 en un servidor que tiene TLS 1.2 habilitado.

  Para obtener más información, vea FIX: Error al instalar SQL Server 2012 o SQL Server 2014 en un servidor que tenga TLS 1.2 habilitado.

• Problema 5

  Una conexión cifrada con la creación de reflejo de la base de datos o los grupos de disponibilidad no funciona cuando se usa un certificado después de deshabilitar todos los demás protocolos distintos de TLS 1.2. En el registro de errores de SQL Server se registra un mensaje de error similar al siguiente:

  Una conexión cifrada con la creación de reflejo de la base de datos o los grupos de disponibilidad no funciona cuando se usa un certificado después de deshabilitar todos los demás protocolos distintos de TLS 1.2. Es posible que observe uno de los siguientes síntomas:

  • Síntoma 1:

    En el registro de errores de SQL Server se registra un mensaje de error similar al siguiente:

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Síntoma 2:

    Se registra un mensaje de error similar al siguiente en el registro de eventos de Windows:

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Este problema se produce porque los grupos de disponibilidad y la creación de reflejo de la base de datos requieren un certificado que no use algoritmos hash de longitud fija, como MD5. Los algoritmos hash de longitud fija no se admiten en TLS 1.2.

  Para obtener más información, vea FIX: Communication using MD5 hash algorithm fails if SQL Server uses TLS 1.2.

• Problema 6

  Las siguientes versiones del motor de base de datos SQL Server se ven afectadas por el problema intermitente de terminación del servicio que se notifica en el artículo de Knowledge Base 3146034. Para que los clientes se protejan de la incidencia de terminación del servicio, se recomienda que instalen las actualizaciones de TLS 1.2 para SQL Server que se mencionan en este artículo si su versión de SQL Server aparece en la tabla siguiente:

  SQL Server versión	Versión afectada
  SQL Server 2008 R2 SP3 (x86 y x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (solo IA-64)	10.50.4046.0
  SQL Server 2008 R2 SP2 (solo IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 y x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (solo IA-64)	10.0.5544.0
  SQL Server 2008 SP3 (solo IA-64)	10.0.5894.0

• Problema 7

  Correo electrónico de base de datos no funciona con TLS 1.2. Correo electrónico de base de datos se produce el siguiente error:

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: no se pudo leer la información de configuración de correo de la base de datos. No se puede iniciar la sesión de correo.

  Para obtener más información, consulte Correcciones adicionales necesarias para que SQL Server use TLS 1.

Errores comunes que puede experimentar cuando faltan actualizaciones de TLS 1.2 en el cliente o servidor

Problema 1

System Center Configuration Manager (SCCM) no se puede conectar a SQL Server después de habilitar el protocolo TLS 1.2 en SQL Server. En esta situación, aparece el siguiente mensaje de error:

Proveedor de TCP: el host remoto cerró forzadamente una conexión existente

Este problema puede producirse cuando SCCM usa un controlador de SQL Server Native Client que no tiene una corrección. Para resolver este problema, descargue e instale la corrección de cliente que aparece en la sección Descargas de componentes de cliente . Por ejemplo, Microsoft® SQL Server ® 2012 Native Client - QFE.

Puede averiguar qué SCCM de controladores usa para conectarse a SQL Server mediante la visualización del registro de SCCM, como se muestra en el ejemplo siguiente:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>