KB5017811 – ניהול Transport Layer Security (TLS) 1.0 ו- 1.1 לאחר שינוי אופן הפעולה המוגדר כברירת מחדל ב- 20 בספטמבר 2022

חל על
Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows Server 2019 Windows 10 Enterprise Multi-Session, version 20H2 Windows 10 Enterprise and Education, version 20H2 Windows 10 IoT Enterprise, version 20H2 Windows 10 on Surface Hub Windows 10, version 21H1, all editions Windows 10, version 21H2, all editions

סיכום

Transport Layer Security (TLS) 1.0 ו- 1.1 הם פרוטוקולי אבטחה ליצירת ערוצי הצפנה ברשתות מחשבים. Microsoft תומכת בהם מאז Windows XP ו- Windows Server 2003. עם זאת, הדרישות הרגולטוריות משתנות. כמו כן, ישנן חולשות אבטחה חדשות ב-TLS 1.0. לכן, Microsoft ממליצה להסיר את התלות של TLS 1.0 ו- TLS 1.1. כמו כן, מומלץ להפוך את TLS 1.0 ו- 1.1 ללא זמינים ברמת מערכת ההפעלה, במידת האפשר. לקבלת פרטים נוספים, ראה השבתת TLS 1.0 ו- 1.1. בעדכון התצוגה המקדימה של 20 בספטמבר 2022, נהפוך את TLS 1.0 ו- 1.1 ללא זמינים כברירת מחדל עבור אפליקציות המבוססות על winhttp ו- wininet. זה חלק ממאמץ מתמשך. מאמר זה יעזור לך להפוך אותן שוב לזמינות. שינויים אלה ישתקפו לאחר התקנת עדכוני Windows שהופצו ב- 20 בספטמבר 2022 או לאחר מכן.

לאחר ה- 20 בספטמבר 2022, תופיע הודעה כאשר הדפדפן שלך יפתח אתר אינטרנט המשתמש ב- TLS 1.0 או 1.1. ראה איור 1. ההודעה מציינת שהאתר משתמש בפרוטוקול TLS מיושן או לא בטוח. כדי לטפל בבעיה זו, באפשרותך לעדכן את פרוטוקול TLS ל- TLS 1.2 ומעלה. אם זה לא אפשרי, תוכל להפוך את TLS לזמין כמתואר בהפיכת TLS לזמין בגירסה 1.1 ולמטה.

חלון Internet Explorer בעת גישה לקישור TLS 1.0 ו- TLS 1.1

איור 1: חלון דפדפן בעת גישה לדף האינטרנט TLS 1.0 ו- 1.1

לאחר העדכון, אפליקציות המבוססות על winhttp עלולות להיכשל. הודעת השגיאה היא, "ERROR_WINHTTP_SECURE_FAILURE בעת ביצוע פעולת WinHttpSendRequest."

כאשר יישום מנסה ליצור חיבור באמצעות TLS 1.1 ומטה, ייתכן שהחיבור ייכשל. כאשר אתה סוגר יישום או שהוא מפסיק לפעול, תיבת הדו-שיח Program Compatibility Assistant (PCA) מופיעה כפי שמוצג באיור 2.

החלון המוקפץ של מסייע תאימות התוכניות לאחר סגירת היישום

איור 2: תיבת הדו-שיח 'מסייע תאימות התוכניות' לאחר סגירת יישום

תיבת הדו-שיח של PCA מציינת, "ייתכן שתוכנית זו לא פעלה כראוי". תחת זה, יש שתי אפשרויות:

  • הפעלת התוכנית באמצעות הגדרות תאימות
  • תוכנית זו פעלה כהלכה

הפעלת התוכנית באמצעות הגדרות תאימות

כאשר תבחר באפשרות זו, היישום ייפתח מחדש. כעת, כל הקישורים המשתמשים ב- TLS 1.0 ו- 1.1 פועלים כראוי. מעתה ואילך, לא תופיע תיבת דו-שיח של PCA. עורך הרישום מוסיף ערכים לנתיבים הבאים:

  • Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store.
  • Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers.

אם בחרת באפשרות זו בטעות, באפשרותך למחוק ערכים אלה. אם תמחק אותם, תראה את תיבת הדו-שיח של PCA בפעם הבאה שתפתח את האפליקציה.

רשימה של תוכניות שיש להפעיל באמצעות הגדרות תאימות

איור 3: רשימה של תוכניות שצריכות לפעול באמצעות הגדרות תאימות

תוכנית זו פעלה כהלכה

בעת בחירה באפשרות זו, היישום נסגר כרגיל. בפעם הבאה שתפתח מחדש את היישום, לא תופיע תיבת דו-שיח של PCA. המערכת חוסמת את כל התוכן של TLS 1.0 ו- TLS 1.1. עורך הרישום מוסיף את הערך הבא לנתיב Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store. ראה איור 4. אם בחרת באפשרות זו בטעות, באפשרותך למחוק ערך זה. אם תמחק את הערך, תראה את תיבת הדו-שיח של PCA בפעם הבאה שתפתח את האפליקציה.

ערך בעורך הרישום המציין שהיישום פעל כראוי

איור 4: ערך בעורך הרישום המציין שהיישום פעל כראוי

חשוב פרוטוקולי TLS מדור קודם זמינים רק עבור יישומים ספציפיים. הדבר נכון על אף שהן אינן זמינות בהגדרות כלל-מערכתיות.

הפוך את TLS לזמין גירסה 1.1 ומטה (הגדרות wininet ו- Internet Explorer)

איננו ממליצים להפוך את TLS 1.1 וגירסאות אחרות לזמינות מאחר שהן אינן נחשבות עוד למאובטחות. הם פגיעים להתקפות שונות, כמו מתקפת הפודל. לכן, לפני הפיכת TLS 1.1 לזמין, בצע אחת מהפעולות הבאות:

  • בדוק אם קיימת גרסה חדשה יותר של היישום.
  • בקש ממפתח האפליקציה לבצע שינויי תצורה באפליקציה כדי להסיר את התלות ב- TLS 1.1 ומטה.

במקרה שאף אחד מהפתרונות לא עובד, יש שתי דרכים להפוך פרוטוקולי TLS מדור קודם לזמינים בהגדרות כלל-מערכתיות:

  • אפשרויות אינטרנט
  • עורך מדיניות קבוצתית

אפשרויות אינטרנט

כדי לפתוח את 'אפשרויות אינטרנט', הקלד 'אפשרויות אינטרנט ' בתיבת החיפוש שבשורת המשימות. באפשרותך גם לבחור 'שנה הגדרות ' מתיבת הדו-שיח המוצגת באיור 1. בכרטיסיה מתקדם , גלול מטה בחלונית הגדרות . שם תוכל להפוך פרוטוקולי TLS לזמינים או ללא זמינים.

החלון 'אפשרויות אינטרנט'

איור 5: תיבת הדו-שיח 'מאפייני אינטרנט'

עורך מדיניות קבוצתית

כדי לפתוח את עורך מדיניות קבוצתית, הקלד gpedit.msc בתיבת החיפוש שבשורת המשימות. חלון כמו זה שמוצג באיור 6 מופיע.

חלון עורך מדיניות קבוצתית

איור 6: חלון עורך מדיניות קבוצתית

  1. נווט אל מדיניות >המחשב המקומי(תצורת המחשב או תצורת המשתמש)>אפשרויות> ניהוליות,רכיבי> Windows, Internet Explorer, לוח הבקרה של הבקרה> ב-Internet Explorer>, דף> מתקדםכבה את התמיכה בהצפנה. ראה איור 7.
  2. לחיצה כפולה כבה את התמיכה בהצפנה.
    נתיב לביטול תמיכה בהצפנה ב-GPedit.msc
    איור 7: נתיב לביטול תמיכה בהצפנה בעורך מדיניות קבוצתית
  3. בחר באפשרות זמין . לאחר מכן השתמש ברשימה הנפתחת כדי לבחור את גירסת TLS שברצונך להפוך לזמינה, כפי שמוצג באיור 8.
    כבה תמיכה בהצפנה זמינה עם רשימה נפתחת שמציגה אפשרויות שונות
    איור 8: הפוך לזמין כבה את התמיכה בהצפנה ואת הרשימה הנפתחת

לאחר שתהפוך את המדיניות לזמינה בעורך מדיניות קבוצתית, לא תוכל לשנות אותה ב'אפשרויות אינטרנט'. לדוגמה, אם תבחר באפשרות השתמש ב- SSL3.0 ו- TLS 1.0, כל שאר האפשרויות לא יהיו זמינות ב'אפשרויות אינטרנט'. ראה איור 9. לא תוכל לשנות אף אחת מההגדרות ב'אפשרויות אינטרנט' אם תהפוך את האפשרות 'בטל תמיכה בהצפנה' לזמינה בעורך מדיניות קבוצתית.

אפשרויות אינטרנט עם הגדרות SSL ו- TLS מעומעמות

איור 9: אפשרויות אינטרנט המציגות הגדרות SSL ו- TLS לא זמינות

הפוך את TLS לזמין גירסה 1.1 ומטה (הגדרות winhttp)

ראה עדכון כדי להפוך את TLS 1.1 ו- TLS 1.2 לזמינים כפרוטוקולים מאובטחים המהווים ברירת מחדל ב- WinHTTP ב- Windows.

נתיבי רישום חשובים (הגדרות wininet ו- Internet Explorer)

  • Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

    • כאן תוכל למצוא את SecureProtocols, המאחסן את הערך של הפרוטוקולים הזמינים כעת אם אתה משתמש בעורך מדיניות קבוצתית.

  • Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

    • כאן תוכל למצוא את SecureProtocols, המאחסן את הערך של פרוטוקולים הזמינים כעת אם אתה משתמש באפשרויות אינטרנט.

  • מדיניות קבוצתית SecureProtocols תקבל עדיפות על פני זו שהוגדרה על-ידי אפשרויות האינטרנט.

הפיכת נסיגה לא מאובטחת של TLS

השינויים שלעיל יאפשרו TLS 1.0 ו- TLS 1.1. עם זאת, הם לא יאפשרו נסיגה של TLS. כדי להפוך את נסיגת TLS לזמינה, עליך להגדיר את EnableInsecureTlsFallback ל- 1 ברישום תחת הנתיבים שלהלן.

  • כדי לשנות הגדרות: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
  • כדי להגדיר מדיניות: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

אם EnableInsecureTlsFallback לא קיים, עליך ליצור ערך DWORD חדש ולהגדיר אותו ל- 1.

נתיבי רישום חשובים

  1. ForceDefaultSecureProtocols

    • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
    • ברירת המחדל היא FALSE. הגדרת ערך שאינו אפס תמנע מאפליקציות להגדיר פרוטוקולים מותאמים אישית באמצעות האפשרות winhttp.

  2. EnableInsecureTlsנסיגה לאחור

    • כדי לשנות הגדרות: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
    • כדי להגדיר מדיניות: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
    • ברירת המחדל היא FALSE. הגדרת ערך שאינו אפס תאפשר לאפליקציות לחזור לפרוטוקולים לא מאובטחים (TLS1.0 ו- 1.1) אם לחיצת היד נכשלת עם פרוטוקולים מאובטחים (tls1.2 ומעלה).