KB5017811 – administrer Transport Layer Security (TLS) 1.0 og 1.1 etter endring av standard virkemåte 20. september 2022

Sammendrag

Transport Layer Security (TLS) 1.0 og 1.1 er sikkerhetsprotokoller for oppretting av krypteringskanaler over datanettverk. Microsoft har støttet dem siden Windows XP og Windows Server 2003. Regulatoriske krav er imidlertid i endring. Det finnes også nye sikkerhetssvakheter i TLS 1.0. Microsoft anbefaler derfor at du fjerner TLS 1.0- og 1.1-avhengigheter. Vi anbefaler også at du deaktiverer TLS 1.0 og 1.1 på operativsystemnivå der det er mulig. Hvis du vil ha mer informasjon, kan du se deaktivering av TLS 1.0 og 1.1. I forhåndsversjonsoppdateringen 20. september 2022 deaktiverer vi TLS 1.0 og 1.1 som standard for programmer basert på winhttp og wininet. Dette er en del av et kontinuerlig arbeid. Denne artikkelen hjelper deg å aktivere dem på nytt. Disse endringene gjenspeiles når du har installert Windows-oppdateringer utgitt på eller etter 20. september 2022.

Virkemåte ved tilgang til TLS 1.0- og 1.1-koblinger i nettleseren

Etter 20. september 2022 vises en melding når nettleseren åpner et nettsted som bruker TLS 1.0 eller 1.1. Se figur 1. Meldingen sier at nettstedet bruker en utdatert eller usikker TLS-protokoll. For å løse dette kan du oppdatere TLS-protokollen til TLS 1.2 eller nyere. Hvis dette ikke er mulig, kan du aktivere TLS som beskrevet i Aktivere TLS versjon 1.1 og eldre.

Figur 1: Nettleservindu ved tilgang til TLS 1.0- og 1.1-nettside

Virkemåte ved tilgang til TLS 1.0- og 1.1-koblinger i winhttp-programmer

Etter oppdateringen kan programmer som er basert på winhttp, mislykkes. Feilmeldingen er «ERROR_WINHTTP_SECURE_FAILURE mens du utfører WinHttpSendRequest-operasjonen».

Virkemåte ved tilgang til TLS 1.0- og 1.1-koblinger i egendefinerte brukergrensesnittprogrammer basert på winhttp eller wininet

Når et program prøver å opprette en tilkobling ved hjelp av TLS 1.1 og lavere, kan tilkoblingen se ut til å mislykkes. Når du lukker et program eller det slutter å fungere, vises dialogboksen Programkompatibilitetsassistent (PCA), som vist i figur 2.

Figur 2: Dialogboksen Assistenten for programkompatibilitet etter at du har lukket et program

I PCA-dialogboksen står det: «Dette programmet kjører kanskje ikke som det skal». Under det er det to alternativer:

• Kjør programmet ved hjelp av kompatibilitetsinnstillinger
• Dette programmet kjørte på riktig måte

Kjør programmet ved hjelp av kompatibilitetsinnstillinger

Når du velger dette alternativet, åpnes programmet på nytt. Nå fungerer alle koblingene som bruker TLS 1.0 og 1.1 på riktig måte. Fra nå av vises ingen dialogboks for PCA. Registerredigering legger til oppføringer i følgende baner:

• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store.
• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers.

Hvis du valgte dette alternativet ved en feil, kan du slette disse oppføringene. Hvis du sletter dem, ser du dialogboksen PCA neste gang du åpner appen.

Figur 3: Liste over programmer som skal kjøre ved hjelp av kompatibilitetsinnstillinger

Dette programmet kjørte på riktig måte

Når du velger dette alternativet, lukkes programmet normalt. Neste gang du åpner programmet på nytt, vises ingen dialogboks for PCA. Systemet blokkerer alt TLS 1.0- og 1.1-innhold. Registerredigering legger til følgende oppføring i banen Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store. Se figur 4. Hvis du valgte dette alternativet ved en feil, kan du slette denne oppføringen. Hvis du sletter oppføringen, ser du dialogboksen for PCA neste gang du åpner appen.

Figur 4: Oppføring i Registerredigering som sier at appen kjørte riktig

Viktig! Eldre TLS-protokoller er bare aktivert for bestemte programmer. Dette gjelder selv om de er deaktivert i systeminnstillinger.

Aktiver TLS versjon 1.1 og lavere (wininet- og Internet Explorer-innstillinger)

Vi anbefaler ikke å aktivere TLS 1.1 og lavere fordi de ikke lenger anses som sikre. De er sårbare for ulike angrep, for eksempel POODLE-angrepet. Så før du aktiverer TLS 1.1, gjør ett av følgende:

• Sjekk om en nyere versjon av programmet er tilgjengelig.
• Be apputvikleren om å gjøre konfigurasjonsendringer i appen for å fjerne avhengigheten av TLS 1.1 og lavere.

I tilfelle ingen av løsningene fungerer, er det to måter å aktivere eldre TLS-protokoller på i systemomfattende innstillinger:

• Alternativer for Internett
• Redigeringsprogram for gruppepolicy

Alternativer for Internett

Du åpner Alternativer for Internett ved å skrive inn Alternativer for Internett i søkefeltet på oppgavelinjen. Du kan også velge Endre innstillinger fra dialogboksen som vises i figur 1. Rull ned i Innstillinger-panelet på Avansert-fanen. Der kan du aktivere eller deaktivere TLS-protokoller.

Figur 5: dialogboksen Egenskaper for Internett

Redigeringsprogrammet for gruppepolicy

Hvis du vil åpne redigeringsprogrammet for gruppepolicy, skriver du gpedit.msc i søkeboksen på oppgavelinjen. Et vindu som det som vises i figur 6 vises.

Figur 6: Redigeringsvindu for gruppepolicy

1. Gå til Policy > for lokal datamaskin(datamaskinkonfigurasjon eller brukerkonfigurasjon)>Administrative templets>Windows-komponenter>Internet Explorer>Kontrollpanel> på Internett-siden Siden Avansert>Deaktiver krypteringsstøtte. Se figur 7.
2. Dobbeltklikk Deaktiver støtte for kryptering.
   
   Figur 7: bane for å deaktivere krypteringsstøtte i redigeringsprogrammet for gruppepolicy
3. Velg alternativet Aktivert . Bruk deretter rullegardinlisten til å velge TLS-versjonen du vil aktivere, som vist i figur 8.
   
   Figur 8: Aktiver Deaktiver krypteringsstøtte og rullegardinliste

Når du aktiverer policyen i redigeringsprogrammet for gruppepolicy, kan du ikke endre den i alternativer for Internett. Hvis du for eksempel velger Bruk SSL3.0 og TLS 1.0, vil alle de andre alternativene være utilgjengelige i Alternativer for Internett. Se figur 9. Du kan ikke endre noen av innstillingene i Alternativer for Internett hvis du aktiverer Deaktiver krypteringsstøtte i redigeringsprogrammet for gruppepolicy.

Figur 9: Alternativer for Internett viser utilgjengelige SSL- og TLS-innstillinger

Aktiver TLS versjon 1.1 og eldre (winhttp-innstillinger)

Se -oppdatering for å aktivere TLS 1.1 og TLS 1.2 som standard sikre protokoller i WinHTTP i Windows.

Viktige registerbaner (wininet- og Internet Explorer-innstillinger)

• Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

  • Her kan du finne SecureProtocols, som lagrer verdien av de gjeldende aktiverte protokollene hvis du bruker redigeringsprogrammet for gruppepolicy.

• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

  • Her kan du finne SecureProtocols, som lagrer verdien av gjeldende aktiverte protokoller hvis du bruker Internet Options.

• gruppepolicy SecureProtocols vil ha forrang over den som er angitt av Alternativer for Internett.

Aktivering av usikker TLS-basis

Endringene ovenfor aktiverer TLS 1.0 og TLS 1.1. De aktiverer imidlertid ikke TLS-tilbakefall. Hvis du vil aktivere TLS-basis, må du angi EnableInsecureTlsFallback til 1 i registret under banene nedenfor.

• Slik endrer du innstillinger: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
• Slik angir du policy: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

Hvis EnableInsecureTlsFallback ikke finnes, må du opprette en ny DWORD-oppføring og sette den til 1.

Viktige registerbaner

1. ForceDefaultSecureProtocols

   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
   • Det er USANN som standard. Hvis du angir en verdi som ikke er null, stoppes programmer fra å angi egendefinerte protokoller ved hjelp av winhttp-alternativet.

2. EnableInsecureTlsFallback

   • Slik endrer du innstillinger: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
   • Slik angir du policy: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
   • Det er USANN som standard. Hvis du angir en annen verdi enn null, kan programmer gå tilbake til usikre protokoller (TLS1.0 og 1.1) hvis håndtrykket mislykkes med sikre protokoller (TLS1.2 og nyere).