TLS 1.2-ondersteuning voor Microsoft SQL Server

Van toepassing op: SQL Server
Origineel KB-nummer: 3135244

Inleiding

Dit artikel bevat informatie over de updates die Microsoft uitbrengt om TLS 1.2-ondersteuning in te schakelen voor SQL Server 2017 in Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 en SQL Server 2008 R2. In dit artikel worden ook ondersteunde clientproviders vermeld. SQL Server 2016, SQL Server 2017 en SQL Server 2019 ondersteunen TLS 1.2 zonder dat er een update nodig is.

Er zijn verschillende bekende beveiligingsproblemen gemeld voor SSL (Secure Sockets Layer) en eerdere versies van TLS (Transport Layer Security). U wordt aangeraden een upgrade uit te voeren naar TLS 1.2 voor veilige communicatie.

Weten of u deze update nodig hebt

Gebruik de volgende tabel om te bepalen of uw huidige versie van SQL Server AL TLS 1.2 ondersteunt of dat u een update moet downloaden om TLS 1.2-ondersteuning in te schakelen. Gebruik de downloadkoppelingen in de tabel om de serverupdates te verkrijgen die van toepassing zijn op uw omgeving.

Downloads van clientonderdelen

Gebruik de volgende tabel om de clientonderdelen en stuurprogramma-updates te downloaden die van toepassing zijn op uw omgeving.

Aanvullende oplossingen die nodig zijn voor SQL Server om TLS 1.2 te gebruiken

U moet de volgende .NET hotfix-rollups installeren om SQL Server functies zoals Database Mail en bepaalde SSIS-onderdelen in te schakelen die gebruikmaken van .NET-eindpunten waarvoor TLS 1.2-ondersteuning is vereist, zoals de webservicetaak voor het gebruik van TLS 1.2.

Veelgestelde vragen

• Wordt TLS 1.1 ondersteund in SQL Server 2016 en latere versies?

  Ja. SQL Server 2016 worden SQL Server 2017 in Windows en SQL Server 2019 op Windows-versies geleverd met TLS 1.0-ondersteuning voor TLS 1.2. U moet TLS 1.0 en 1.1 uitschakelen als u alleen TLS 1.2 wilt gebruiken voor client-servercommunicatie.

• Staat SQL Server 2019 verbindingen toe met TLS 1.0 of 1.1 of alleen 1.2?

  SQL Server 2019 heeft hetzelfde ondersteuningsniveau als SQL Server 2016 en SQL Server 2017, en SQL Server 2019 ondersteunt oudere versies van TLS. SQL Server 2019 RTM wordt geleverd met TLS 1.2-ondersteuning en er is geen andere update of oplossing vereist om TLS 1.2-ondersteuning in te schakelen.

• Heeft TDS last van bekende beveiligingsproblemen?

  Er zijn geen bekende beveiligingsproblemen gemeld voor de Microsoft TDS-implementatie. Omdat verschillende organisaties die standaarden afdwingen het gebruik van TLS 1.2 voor versleutelde communicatiekanalen verplichten, biedt Microsoft ondersteuning voor TLS 1.2 voor de wijdverspreide SQL Server-installatiebasis.

• Hoe worden de TLS 1.2-updates gedistribueerd naar klanten?

  Dit artikel bevat downloadkoppelingen voor de juiste server- en clientupdates die TLS 1.2 ondersteunen.

• Ondersteunt TLS 1.2 SQL Server 2005?

  TLS 1.2-ondersteuning wordt alleen aangeboden voor SQL Server 2008 en latere versies.

• Worden klanten die geen SSL/TLS gebruiken beïnvloed als SSL 3.0 en TLS 1.0 zijn uitgeschakeld op de server?

  Ja. SQL Server versleutelt de gebruikersnaam en het wachtwoord tijdens het aanmelden, zelfs als er geen beveiligd communicatiekanaal wordt gebruikt. Deze update is vereist voor alle SQL Server exemplaren die geen beveiligde communicatie gebruiken en waarvoor alle andere protocollen behalve TLS 1.2 zijn uitgeschakeld op de server.

• Welke versies van Windows Server ondersteunen TLS 1.2?

  Windows Server 2008 R2 en latere versies ondersteunen TLS 1.2.

• Wat is de juiste registerinstelling om TLS 1.2 in te schakelen voor SQL Server communicatie?

  De juiste registerinstellingen zijn als volgt:

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Deze instellingen zijn vereist voor zowel server- als clientcomputers. De DisabledByDefault instellingen en Enabled moeten worden gemaakt op Windows 7-clients en Windows Server 2008 R2-servers. Op Windows 8 en latere versies van de clientbesturingssystemen of Windows Server 2012 server en latere versies van de serverbesturingssystemen moet TLS 1.2 al zijn ingeschakeld. Als u een implementatiebeleid implementeert voor Het Windows-register dat onafhankelijk moet zijn van de release van het besturingssysteem, wordt u aangeraden de genoemde registersleutels toe te voegen aan het beleid. Als u bovendien Database Mail op uw SQL Server gebruikt, moet u ook de volgende .NET-registersleutels instellen:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Bekende problemen

• Probleem 1

  SQL Server Management Studio (SSMS), Report Server en Report Manager maken geen verbinding met de database-engine nadat u de oplossing voor SQL Server 2008, 2008 R2, 2012 of 2014 hebt toegepast. Report Server en Report Manager mislukken en retourneren het volgende foutbericht:

  De rapportserver kan geen verbinding met de rapportserverdatabase openen. Een verbinding met de database is vereist voor alle aanvragen en verwerking. (rsReportServerDatabaseUnavailable)

  Dit probleem treedt op omdat SSMS, Report Manager en Reporting Services Configuration Manager ADO.NET gebruiken en ADO.NET ondersteuning voor TLS 1.2 alleen beschikbaar is in de .NET Framework 4.6. Voor eerdere versies van de .NET Framework moet u een Windows-update toepassen, zodat ADO.NET TLS 1.2-communicatie voor de client kan ondersteunen. De Windows-updates die ONDERSTEUNING voor TLS 1.2 in eerdere versies van het .NET Framework mogelijk maken, worden vermeld in de tabel in de sectie Hoe weet u of u deze update nodig hebt .

• Probleem 2

  Reporting Services Configuration Manager rapporteert het volgende foutbericht, zelfs nadat clientproviders zijn bijgewerkt naar een versie die TLS 1.2 ondersteunt:

  Kan geen verbinding maken met server: er is een verbinding tot stand gebracht met de server, maar er is een fout opgetreden tijdens de handshake voorafgaand aan aanmelding.

  

  U kunt dit probleem oplossen door handmatig de volgende registersleutel te maken op het systeem dat als host fungeert voor de Reporting Services-Configuration Manager:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Probleem 3

  De versleutelde eindpuntcommunicatie die gebruikmaakt van TLS 1.2 mislukt wanneer u versleutelde communicatie gebruikt voor beschikbaarheidsgroepen, databasespiegeling of Service Broker in SQL Server. Een foutbericht dat er ongeveer als volgt uitziet, wordt vastgelegd in het SQL-foutenlogboek:

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Zie FIX: The encrypted endpoint communication with TLS 1.2 fails when you use SQL Server (Oplossing: de versleutelde eindpuntcommunicatie met TLS 1.2 mislukt wanneer u SQL Server gebruikt) voor meer informatie over dit probleem.

• Probleem 4

  Er treden verschillende fouten op wanneer u probeert SQL Server 2012 of SQL Server 2014 te installeren op een server waarop TLS 1.2 is ingeschakeld.

  Zie FIX: Error when you install SQL Server 2012 or SQL Server 2014 on a server that has TLS 1.2 enabled voor meer informatie.

• Probleem 5

  Een versleutelde verbinding met databasespiegeling of beschikbaarheidsgroepen werkt niet wanneer u een certificaat gebruikt nadat u alle andere protocollen dan TLS 1.2 hebt uitgeschakeld. Een foutbericht dat er ongeveer als volgt uitziet, wordt vastgelegd in het SQL Server foutenlogboek:

  Een versleutelde verbinding met databasespiegeling of beschikbaarheidsgroepen werkt niet wanneer u een certificaat gebruikt nadat u alle andere protocollen dan TLS 1.2 hebt uitgeschakeld. Mogelijk ziet u een van de volgende symptomen:

  • Symptoom 1:

    Een foutbericht dat er ongeveer als volgt uitziet, wordt vastgelegd in het SQL Server foutenlogboek:

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Symptoom 2:

    Een foutbericht dat er ongeveer als volgt uitziet, wordt vastgelegd in het Windows-gebeurtenislogboek:

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Dit probleem treedt op omdat beschikbaarheidsgroepen en databasespiegeling een certificaat vereisen dat geen hash-algoritmen met vaste lengte gebruikt, zoals MD5. Hash-algoritmen met vaste lengte worden niet ondersteund in TLS 1.2.

  Zie FIX: Communication using MD5 hash algorithm fails if SQL Server using TLS 1.2 (Fix: Communicatie met md5-hashalgoritme mislukt als SQL Server TLS 1.2 gebruikt) voor meer informatie.

• Probleem 6

  De volgende SQL Server versies van database-engine worden beïnvloed door het probleem met het onregelmatig beëindigen van de service dat wordt gerapporteerd in het Knowledge Base-artikel 3146034. Klanten die zich willen beschermen tegen het probleem met het beëindigen van de service, raden we aan de TLS 1.2-updates te installeren voor SQL Server die in dit artikel worden vermeld als hun SQL Server-versie in de volgende tabel wordt vermeld:

  SQL Server release	Betrokken versie
  SQL Server 2008 R2 SP3 (x86 en x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (alleen IA-64)	10.50.4046.0
  SQL Server 2008 R2 SP2 (alleen IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 en x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (alleen IA-64)	10.0.5544.0
  SQL Server 2008 SP3 (alleen IA-64)	10.0.5894.0

• Probleem 7

  Database Mail werkt niet met TLS 1.2. Database Mail mislukt met de volgende fout:

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: E-mailconfiguratiegegevens kunnen niet worden gelezen uit de database. Kan de e-mailsessie niet starten.

  Zie Aanvullende oplossingen die nodig zijn voor SQL Server om TLS 1 te gebruiken voor meer informatie.

Veelvoorkomende fouten die kunnen optreden wanneer TLS 1.2-updates ontbreken op de client of server

Probleem 1

System Center Configuration Manager (SCCM) kan geen verbinding maken met SQL Server nadat het TLS 1.2-protocol is ingeschakeld op SQL Server. In deze situatie wordt het volgende foutbericht weergegeven:

TCP-provider: een bestaande verbinding is geforceerd gesloten door de externe host

Dit probleem kan optreden wanneer SCCM een SQL Server Native Client-stuurprogramma gebruikt dat geen oplossing heeft. U kunt dit probleem oplossen door de clientoplossing te downloaden en te installeren die wordt vermeld in de sectie Downloads van clientonderdelen . Bijvoorbeeld Microsoft® SQL Server ® 2012 Native Client - QFE.

U kunt zien welk stuurprogramma SCCM gebruikt om verbinding te maken met SQL Server door het logboek van SCCM te bekijken, zoals in het volgende voorbeeld wordt weergegeven:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>