Obsługa protokołu TLS 1.2 dla firmy Microsoft SQL Server

Dotyczy: SQL Server
Oryginalny numer KB: 3135244

Wprowadzenie

Ten artykuł zawiera informacje o aktualizacjach udostępnianych przez firmę Microsoft w celu włączenia obsługi protokołu TLS 1.2 dla SQL Server 2017 w systemie Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 i SQL Server 2008 R2. W tym artykule wymieniono również obsługiwanych dostawców klientów. SQL Server 2016 r., SQL Server 2017 r. i SQL Server 2019 r. obsługują protokół TLS 1.2 bez konieczności aktualizacji.

Zgłoszono kilka znanych luk w zabezpieczeniach względem protokołu Secure Sockets Layer (SSL) i wcześniejszych wersji protokołu Transport Layer Security (TLS). Zalecamy uaktualnienie do protokołu TLS 1.2 w celu zapewnienia bezpiecznej komunikacji.

Jak dowiedzieć się, czy ta aktualizacja jest potrzebna

Użyj poniższej tabeli, aby określić, czy bieżąca wersja SQL Server już obsługuje protokół TLS 1.2, czy też musisz pobrać aktualizację, aby włączyć obsługę protokołu TLS 1.2. Użyj linków pobierania w tabeli, aby uzyskać aktualizacje serwera, które mają zastosowanie do danego środowiska.

Pobieranie składnika klienta

Poniższa tabela umożliwia pobranie składników klienta i aktualizacji sterowników mających zastosowanie do danego środowiska.

Dodatkowe poprawki wymagane do SQL Server do korzystania z protokołu TLS 1.2

Musisz zainstalować następujące pakiety zbiorcze poprawek platformy .NET, aby włączyć funkcje SQL Server, takie jak Poczta bazy danych i niektóre składniki SSIS korzystające z punktów końcowych platformy .NET, które wymagają obsługi protokołu TLS 1.2, takiej jak zadanie usługi sieci Web, do korzystania z protokołu TLS 1.2.

Często zadawane pytania

• Czy protokół TLS 1.1 jest obsługiwany w SQL Server 2016 r. i nowszych wersjach?

  Tak. SQL Server 2016, SQL Server 2017 w systemie Windows i SQL Server 2019 w wersjach systemu Windows dostarczanych z obsługą protokołu TLS 1.0 do protokołu TLS 1.2. Musisz wyłączyć protokół TLS 1.0 i 1.1, jeśli chcesz używać tylko protokołu TLS 1.2 do komunikacji klient-serwer.

• Czy SQL Server 2019 r. zezwala na połączenia przy użyciu protokołu TLS 1.0 lub 1.1, czy tylko 1.2?

  SQL Server 2019 r. ma taki sam poziom obsługi jak SQL Server 2016 i SQL Server 2017 r., a SQL Server 2019 r. obsługuje starsze wersje protokołu TLS. SQL Server 2019 rtm jest dostarczany z obsługą protokołu TLS 1.2 i nie jest wymagana żadna inna aktualizacja ani poprawka, aby umożliwić obsługę protokołu TLS 1.2.

• Czy na usługi TDS wpływają znane luki w zabezpieczeniach?

  Nie zgłoszono żadnych znanych luk w zabezpieczeniach dla implementacji usługi Microsoft TDS. Ponieważ kilka organizacji wymuszających standardy nakazuje korzystanie z protokołu TLS 1.2 dla zaszyfrowanych kanałów komunikacyjnych, firma Microsoft udostępnia obsługę protokołu TLS 1.2 dla powszechnej bazy instalacji SQL Server.

• W jaki sposób aktualizacje protokołu TLS 1.2 będą dystrybuowane do klientów?

  Ten artykuł zawiera linki do pobierania odpowiednich aktualizacji serwera i klienta, które obsługują protokół TLS 1.2.

• Czy protokół TLS 1.2 obsługuje SQL Server 2005 r.?

  Obsługa protokołu TLS 1.2 jest oferowana tylko w przypadku wersji SQL Server 2008 i nowszych.

• Czy klienci, którzy nie korzystają z protokołu SSL/TLS, mają wpływ na to, czy protokoły SSL 3.0 i TLS 1.0 są wyłączone na serwerze?

  Tak. SQL Server szyfruje nazwę użytkownika i hasło podczas logowania, nawet jeśli bezpieczny kanał komunikacyjny nie jest używany. Ta aktualizacja jest wymagana dla wszystkich wystąpień SQL Server, które nie korzystają z bezpiecznej komunikacji i które mają wszystkie inne protokoły z wyjątkiem protokołu TLS 1.2 wyłączonego na serwerze.

• Które wersje systemu Windows Server obsługują protokół TLS 1.2?

  System Windows Server 2008 R2 i nowsze wersje obsługują protokół TLS 1.2.

• Jakie jest poprawne ustawienie rejestru, aby włączyć protokół TLS 1.2 dla SQL Server komunikacji?

  Prawidłowe ustawienia rejestru są następujące:

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Te ustawienia są wymagane zarówno dla serwerów, jak i komputerów klienckich. Ustawienia DisabledByDefault i Enabled muszą być tworzone na klientach systemu Windows 7 i serwerach z systemem Windows Server 2008 R2. W Windows 8 i nowszych wersjach klienckich systemów operacyjnych lub serwera Windows Server 2012 i nowszych wersjach systemów operacyjnych serwera protokół TLS 1.2 powinien być już włączony. Jeśli implementujesz zasady wdrażania dla rejestru systemu Windows, które muszą być niezależne od wersji systemu operacyjnego, zalecamy dodanie wymienionych kluczy rejestru do zasad. Ponadto jeśli używasz Poczta bazy danych w SQL Server, musisz również ustawić następujące klucze rejestru platformy .NET:

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Znane problemy

• Problem 1

  SQL Server Management Studio (SSMS), Serwer raportów i Menedżer raportów nie łączą się z aparatem bazy danych po zastosowaniu poprawki dla SQL Server 2008, 2008 R2, 2012 lub 2014. Serwer raportów i Menedżer raportów nie powiodły się i zwraca następujący komunikat o błędzie:

  Serwer raportów nie może otworzyć połączenia z bazą danych serwera raportów. Połączenie z bazą danych jest wymagane dla wszystkich żądań i przetwarzania. (rsReportServerDatabaseUnavailable)

  Ten problem występuje, ponieważ usługi SSMS, Report Manager i Reporting Services Configuration Manager używają ADO.NET, a obsługa ADO.NET protokołu TLS 1.2 jest dostępna tylko w .NET Framework 4.6. W przypadku wcześniejszych wersji .NET Framework należy zastosować aktualizację systemu Windows, aby ADO.NET mogła obsługiwać komunikację TLS 1.2 dla klienta. Aktualizacje systemu Windows, które umożliwiają obsługę protokołu TLS 1.2 we wcześniejszych wersjach platformy .NET, są wymienione w tabeli w sekcji Jak sprawdzić, czy ta aktualizacja jest potrzebna .

• Problem 2

  Usługa Reporting Services Configuration Manager zgłasza następujący komunikat o błędzie nawet po zaktualizowaniu dostawców klientów do wersji obsługującej protokół TLS 1.2:

  Nie można nawiązać połączenia z serwerem: połączenie zostało pomyślnie nawiązane z serwerem, ale wystąpił błąd podczas uzgadniania przed zalogowaniem.

  

  Aby rozwiązać ten problem, ręcznie utwórz następujący klucz rejestru w systemie hostującym usługi Reporting Services Configuration Manager:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Problem 3

  Szyfrowana komunikacja punktu końcowego korzystająca z protokołu TLS 1.2 kończy się niepowodzeniem, gdy używasz szyfrowanej komunikacji dla grup dostępności, dublowania bazy danych lub usługi Service Broker w SQL Server. Komunikat o błędzie podobny do poniższego jest rejestrowany w dzienniku błędów SQL:

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Aby uzyskać więcej informacji na temat tego problemu, zobacz FIX: Szyfrowana komunikacja punktu końcowego z protokołem TLS 1.2 kończy się niepowodzeniem podczas korzystania z SQL Server.

• Problem 4

  Podczas próby zainstalowania protokołu SQL Server 2012 lub SQL Server 2014 na serwerze z włączonym protokołem TLS 1.2 występują różne błędy.

  Aby uzyskać więcej informacji, zobacz FIX: Error when you install SQL Server 2012 or SQL Server 2014 on a server that has TLS 1.2 enabled (Poprawka: błąd podczas instalacji SQL Server 2012 lub SQL Server 2014 na serwerze z włączonym protokołem TLS 1.2.

• Problem 5

  Zaszyfrowane połączenie z dublowaniem bazy danych lub grupami dostępności nie działa podczas korzystania z certyfikatu po wyłączeniu wszystkich innych protokołów innych niż TLS 1.2. Komunikat o błędzie podobny do poniższego jest rejestrowany w dzienniku błędów SQL Server:

  Zaszyfrowane połączenie z dublowaniem bazy danych lub grupami dostępności nie działa podczas korzystania z certyfikatu po wyłączeniu wszystkich innych protokołów innych niż TLS 1.2. Można zauważyć jeden z następujących objawów:

  • Objaw 1:

    Komunikat o błędzie podobny do poniższego jest rejestrowany w dzienniku błędów SQL Server:

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Objaw 2:

    W dzienniku zdarzeń systemu Windows jest rejestrowany komunikat o błędzie podobny do następującego:

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Ten problem występuje, ponieważ grupy dostępności i dublowanie bazy danych wymagają certyfikatu, który nie używa algorytmów skrótu o stałej długości, takich jak MD5. Algorytmy wyznaczania wartości skrótu o stałej długości nie są obsługiwane w protokołach TLS 1.2.

  Aby uzyskać więcej informacji, zobacz FIX: Komunikacja przy użyciu algorytmu skrótu MD5 kończy się niepowodzeniem, jeśli SQL Server używa protokołu TLS 1.2.

• Problem 6

  Na następujące SQL Server wersji aparatu bazy danych ma wpływ sporadyczny problem z kończeniem usługi, który jest zgłaszany w artykule bazy wiedzy 3146034. Aby klienci mogli chronić się przed problemem z rozwiązaniem usługi, zalecamy zainstalowanie aktualizacji protokołu TLS 1.2 dla SQL Server wymienionych w tym artykule, jeśli ich wersja SQL Server jest wymieniona w poniższej tabeli:

  wersja SQL Server	Wersja objęta problemem
  SQL Server 2008 R2 SP3 (x86 i x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (tylko IA-64)	10.50.4046.0
  SQL Server 2008 R2 SP2 (tylko IA-64)	10.50.4343.0
  SQL Server 2008 SP4 (x86 i x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (tylko IA-64)	10.0.5544.0
  SQL Server 2008 SP3 (tylko IA-64)	10.0.5894.0

• Problem 7

  Poczta bazy danych nie działa z protokołem TLS 1.2. Poczta bazy danych kończy się niepowodzeniem z powodu następującego błędu:

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: Nie można odczytać informacji o konfiguracji poczty z bazy danych. Nie można uruchomić sesji poczty.

  Aby uzyskać więcej informacji, zobacz Dodatkowe poprawki potrzebne do SQL Server do korzystania z protokołu TLS 1.

Typowe błędy, które mogą wystąpić w przypadku braku aktualizacji protokołu TLS 1.2 na kliencie lub serwerze

Problem 1

Program System Center Configuration Manager (SCCM) nie może nawiązać połączenia z SQL Server po włączeniu protokołu TLS 1.2 w SQL Server. W tej sytuacji pojawia się następujący komunikat o błędzie:

Dostawca TCP: istniejące połączenie zostało wymuszone przez hosta zdalnego

Ten problem może wystąpić, gdy SCCM używa sterownika SQL Server Native Client, który nie ma poprawki. Aby rozwiązać ten problem, pobierz i zainstaluj poprawkę klienta wymienioną w sekcji Pobieranie składnika klienta . Na przykład klient natywny microsoft® SQL Server ® 2012 — QFE.

Aby dowiedzieć się, którego sterownika SCCM używa do nawiązywania połączenia z SQL Server, możesz wyświetlić dziennik SCCM, jak pokazano w poniższym przykładzie:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>