KB5017811 – Upravljanje protokolom Transport Layer Security (TLS) 1.0 i 1.1 nakon promjene zadanog ponašanja 20. rujna 2022.

Sažetak

Transport Layer Security (TLS) 1.0 i 1.1 sigurnosni su protokoli za stvaranje kanala šifriranja na računalnim mrežama. Microsoft ih podržava od sustava Windows XP i Windows Server 2003. Međutim, regulatorni se zahtjevi mijenjaju. Osim toga, postoje nove sigurnosne slabosti u protokolu TLS 1.0. Stoga Microsoft preporučuje uklanjanje zavisnosti o TLS 1.0 i 1.1. Preporučujemo i da isključite TLS 1.0 i 1.1 na razini operacijskog sustava kada je to moguće. Dodatne pojedinosti potražite u članku o onemogućivanju protokola TLS 1.0 i 1.1. U ažuriranju pretpregleda od 20. rujna 2022. onemogućit ćemo TLS 1.0 i 1.1 prema zadanim postavkama za aplikacije koje se temelje na winhttpu i wininetu. To je dio stalnih napora. Ovaj će vam članak pomoći da ih ponovno omogućite. Te će se promjene odraziti nakon instalacije ažuriranja sustava Windows objavljenih 20. rujna 2022. ili kasnije.

Ponašanje prilikom pristupa TLS 1.0 i 1.1 vezama u pregledniku

Nakon 20. rujna 2022. kada preglednik otvori web-mjesto koje koristi TLS 1.0 ili 1.1, prikazat će se poruka. Pogledajte sliku 1. U poruci piše da web-mjesto koristi zastarjeli ili nesiguran protokol TLS. Da biste to riješili, protokol TLS možete ažurirati na TLS 1.2 ili noviji. Ako to nije moguće, TLS možete omogućiti na način opisan u članku Omogućivanje TLS-a u verziji 1.1 i starijima.

Slika 1: Prozor preglednika prilikom pristupa web-stranicama TLS 1.0 i 1.1

Ponašanje prilikom pristupa TLS 1.0 i 1.1 vezama u winhttp aplikacijama

Nakon ažuriranja aplikacije utemeljene na winhttpu možda neće uspjeti. Poruka o pogrešci glasi "ERROR_WINHTTP_SECURE_FAILURE tijekom izvršavanja operacije WinHttpSendRequest".

Ponašanje prilikom pristupa TLS 1.0 i 1.1 vezama u prilagođenim aplikacijama korisničkog sučelja utemeljenima na winhttpu ili wininetu

Kada aplikacija pokuša uspostaviti vezu pomoću protokola TLS 1.1 ili starijeg, veza se može doimati kao da ne uspijeva. Kada zatvorite aplikaciju ili ona prestane funkcionirati, pojavit će se dijaloški okvir Pomoćnik za kompatibilnost programa (PCA) kao što je prikazano na slici 2.

Slika 2: Dijaloški okvir Pomoćnik za kompatibilnost programa nakon zatvaranja aplikacije

Dijaloški okvir PCA glasi ovako: "Ovaj program možda nije ispravno pokrenut." Ispod toga postoje dvije mogućnosti:

• Pokrenite program pomoću postavki kompatibilnosti
• Ovaj se program ispravno izvodio

Pokrenite program pomoću postavki kompatibilnosti

Kada odaberete tu mogućnost, aplikacija će se ponovno otvoriti. Sada sve veze koje koriste TLS 1.0 i 1.1 funkcioniraju ispravno. Od tada nadalje, neće se pojavljivati dijaloški okvir PCA. Uređivač registra dodaje stavke na sljedeće putove:

• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store.
• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers.

Ako ste pogreškom odabrali tu mogućnost, možete izbrisati te unose. Ako ih izbrišete, vidjet ćete dijaloški okvir PCA sljedeći put kada otvorite aplikaciju.

Slika 3: Popis programa koje je potrebno pokrenuti uz postavke kompatibilnosti

Ovaj se program ispravno izvodio

Kada odaberete tu mogućnost, aplikacija se obično zatvara. Sljedeći put kada ponovno otvorite aplikaciju, neće se prikazati dijaloški okvir PCA. Sustav blokira sav TLS 1.0 i 1.1 sadržaj. Uređivač registra dodaje sljedeću stavku u Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store puta. Pogledajte sliku 4. Ako ste pogreškom odabrali tu mogućnost, možete izbrisati tu stavku. Ako izbrišete unos, vidjet ćete dijaloški okvir PCA sljedeći put kada otvorite aplikaciju.

Slika 4: Unos u uređivaču registra koji navodi da se aplikacija pravilno izvodila

Važno Naslijeđeni TLS protokoli omogućeni su samo za određene aplikacije. To vrijedi čak i ako su onemogućeni u postavkama cijelog sustava.

Omogućivanje TLS-a verzije 1.1 i novije (Wininet i Internet Explorer postavke)

Ne preporučujemo omogućivanje protokola TLS 1.1 i starijih jer se više ne smatraju sigurnima. Ranjivi su na razne napade, kao što je napad pudlica. Zato prije omogućivanja protokola TLS 1.1 učinite nešto od sljedećeg:

• Provjerite je li dostupna novija verzija aplikacije.
• Zamolite razvojnog inženjera aplikacije da promijeni konfiguraciju aplikacije radi uklanjanja ovisnosti o protokolu TLS 1.1 i starijim verzijama.

U slučaju da nijedno rješenje ne funkcionira, postoje dva načina za omogućavanje naslijeđenih TLS protokola u postavkama diljem sustava:

• Internetske mogućnosti
• Uređivač pravilnika grupe

Internetske mogućnosti

Da biste otvorili internetske mogućnosti, u okvir za pretraživanje na programskoj traci upišite Internetske mogućnosti . Možete odabrati i Promjena postavki u dijaloškom okviru prikazanom na slici 1. Na kartici Dodatno pomaknite se prema dolje na ploči s postavkama . Ondje možete omogućiti ili onemogućiti TLS protokole.

Figure 5: Internet Properties dialog

Uređivač pravilnik grupe

Da biste otvorili uređivač pravilnik grupe, upišite gpedit.msc u okvir za pretraživanje na programskoj traci. Pojavit će se prozor poput onog prikazanog na slici 6.

Figure 6: pravilnik grupe Editor window

1. Iditena Pravilnik >lokalnog računala(Konfiguracija računala ili Konfiguracija korisnika)>Administrativni> zamoraKomponente sustava Windows Internet> Explorer >Internet Upravljačka ploča> za internet, stranica NaprednoIsključite>podršku za šifriranje. Pogledajte sliku 7.
2. Dvoklik Isključite podršku za šifriranje.
   
   Figure 7: Way to turn off encryption support in pravilnik grupe Editor
3. Odaberite mogućnost Omogućeno . Zatim pomoću padajućeg popisa odaberite verziju TLS-a koju želite omogućiti kao što je prikazano na slici 8.
   
   Slika 8: Omogući Isključivanje podrške za šifriranje i padajući popis

Kada omogućite pravilnik u uređivaču pravilnik grupe, ne možete ga promijeniti u internetskim mogućnostima. Ako, primjerice, odaberete SSL3.0 i TLS 1.0, sve ostale mogućnosti neće biti dostupne u internetskim mogućnostima. Pogledajte sliku 9. Ne možete promijeniti nijednu postavku u Internetskim mogućnostima ako u uređivaču pravilnik grupe omogućite mogućnost Isključi podršku za šifriranje.

Figure 9: Internet Options showing unavailable SSL and TLS settings

Omogućivanje TLS-a verzije 1.1 i starije (winhttp postavke)

Pogledajte Ažuriranje da biste omogućili TLS 1.1 i TLS 1.2 kao zadane sigurne protokole u WinHTTP u sustavu Windows.

Važni putovi registra (Wininet i postavke preglednika Internet Explorer)

• Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

  • Ovdje možete pronaći SecureProtocols, koji pohranjuje vrijednost trenutno omogućenih protokola ako koristite uređivač pravilnik grupe.

• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

  • Ovdje možete pronaći SecureProtocols, koji pohranjuje vrijednost trenutno omogućenih protokola ako koristite internetske mogućnosti.

• SecureProtocols pravilnik grupe imat će prednost pred onim postavljenim u sklopu internetskih mogućnosti.

Omogućavanje nesigurne rezerve za TLS

Gore navedene izmjene omogućit će TLS 1.0 i TLS 1.1. Međutim, neće omogućiti rezervni TLS. Da biste omogućili rezervni TLS, morate postaviti EnableInsecureTlsFallback na 1 u registru prema putovima u nastavku.

• Da biste promijenili postavke: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
• Da biste postavili pravilnik: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

Ako EnableInsecureTlsFallback nije prisutan, morate stvoriti novi unos DWORD i postaviti ga na 1.

Važni putovi registra

1. ForceDefaultSecureProtocols

   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
   • Po zadanom je FALSE. Postavljanjem vrijednosti koja nije nula aplikacijama onemogućit će postavljanje prilagođenih protokola pomoću mogućnosti winhttp.

2. EnableInsecureTlsFallback

   • Da biste promijenili postavke: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
   • Da biste postavili pravilnik: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
   • Po zadanom je FALSE. Postavljanjem vrijednosti koja nije nula omogućit će se aplikacijama da se vrate na nesigurne protokole (TLS1.0 i 1.1) ako rukovanje ne uspije uz sigurne protokole (TLS1.2 i noviji).