Resumo
Transport Layer Security (TLS) 1.0 e 1.1 são protocolos de segurança para a criação de canais de criptografia em redes de computadores. A Microsoft tem-nos suportado desde o Windows XP e Windows Server 2003. No entanto, os requisitos regulamentares estão a mudar. Além disso, existem novas fraquezas de segurança no TLS 1.0. Portanto, a Microsoft recomenda que você remova as dependências TLS 1.0 e 1.1. Também recomendamos que desative o TLS 1.0 e 1.1 ao nível do sistema operativo, sempre que possível. Para obter mais detalhes, consulte Desativação do TLS 1.0 e 1.1. Na atualização de pré-visualização de 20 de setembro de 2022, iremos desativar o TLS 1.0 e 1.1 por predefinição para aplicações baseadas em winhttp e wininet. Isto faz parte de um esforço contínuo. Este artigo irá ajudá-lo a reativá-las. Estas alterações serão refletidas após instalar as atualizações do Windows lançadas a partir de 20 de setembro de 2022.
Comportamento ao aceder a ligações TLS 1.0 e 1.1 no browser
Após 20 de setembro de 2022, será apresentada uma mensagem quando o browser abrir um site que utiliza TLS 1.0 ou 1.1. Veja a Figura 1. A mensagem indica que o site utiliza um protocolo TLS desatualizado ou inseguro. Para resolver este problema, pode atualizar o protocolo TLS para TLS 1.2 ou superior. Se isso não for possível, você pode habilitar o TLS conforme discutido em Habilitando o TLS versão 1.1 e abaixo.
Figura 1: Janela do navegador ao acessar a página da Web TLS 1.0 e 1.1
Comportamento ao acessar links TLS 1.0 e 1.1 em aplicativos winhttp
Após a atualização, as aplicações baseadas em winhttp podem falhar. A mensagem de erro apresentada é: "ERROR_WINHTTP_SECURE_FAILURE durante a execução da operação WinHttpSendRequest".
Comportamento ao acessar links TLS 1.0 e 1.1 em aplicativos UI personalizados baseados em winhttp ou wininet
Quando um aplicativo tenta criar uma conexão usando TLS 1.1 e inferiores, a conexão pode parecer falhar. Quando você fecha um aplicativo ou ele para de funcionar, a caixa de diálogo do Assistente de Compatibilidade de Programas (PCA) é exibida, como mostra a Figura 2.
Figura 2: Caixa de diálogo Assistente de Compatibilidade de Programas após fechar um aplicativo
A caixa de diálogo PCA indica que "Este programa pode não ter sido executado corretamente." Abaixo disso, há duas opções:
- Execute o programa utilizando as definições de compatibilidade
- Este programa foi executado corretamente
Execute o programa utilizando as definições de compatibilidade
Quando selecionar esta opção, a aplicação é aberta novamente. Agora, todos os links que usam TLS 1.0 e 1.1 funcionam corretamente. A partir daí, não será apresentada nenhuma caixa de diálogo PCA. O Editor de Registo adiciona entradas aos seguintes caminhos:
- Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store.
- Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers.
Se selecionou esta opção por engano, pode eliminar estas entradas. Se os eliminar, verá a caixa de diálogo PCA da próxima vez que abrir a aplicação.
Figura 3: Lista de programas que devem ser executados usando configurações de compatibilidade
Este programa foi executado corretamente
Quando seleciona esta opção, a aplicação fecha normalmente. Da próxima vez que reabrir a aplicação, não é apresentada nenhuma caixa de diálogo PCA. O sistema bloqueia todo o conteúdo TLS 1.0 e 1.1. O Editor de Registo adiciona a seguinte entrada aoComputer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store de caminho . Veja a Figura 4. Se selecionar esta opção por engano, pode eliminar esta entrada. Se eliminar a entrada, irá ver a caixa de diálogo PCA da próxima vez que abrir a aplicação.
Figura 4: Entrada no Editor do Registro informando que o aplicativo foi executado corretamente
Importante Os protocolos TLS legados só estão ativados para aplicações específicas. Isto é verdade apesar de estarem desativadas em definições de todo o sistema.
Habilite o TLS versão 1.1 e inferior (configurações de Explorer do wininet e da Internet)
Não recomendamos a ativação do TLS 1.1 e inferiores porque já não são considerados seguros. Eles são vulneráveis a vários ataques, como o ataque POODLE. Por isso, antes de ativar o TLS 1.1, efetue um dos seguintes procedimentos:
- Verifique se está disponível uma versão mais recente da aplicação.
- Peça ao programador da aplicação para fazer alterações de configuração na aplicação para remover a dependência do TLS 1.1 e inferiores.
Caso nenhuma das soluções funcione, existem duas formas de ativar os protocolos TLS legados em definições de todo o sistema:
- Opções da Internet
- Editor de Política de Grupo
Opções da Internet
Para abrir as Opções da Internet, escreva Opções da Internet na caixa de pesquisa na barra de tarefas. Você também pode selecionar Alterar configurações na caixa de diálogo mostrada na Figura 1. No separador Avançadas , desloque-se para baixo no painel Definições . Aí, pode ativar ou desativar os protocolos TLS.
Figura 5: Caixa de diálogo Propriedades da Internet
O Editor Política de Grupo
Para abrir o Editor de Política de Grupo, digite gpedit.msc na caixa de pesquisa da barra de tarefas. Uma janela como a mostrada na Figura 6 é exibida.
Figura 6: Política de Grupo janela Editor
- Navegue até Diretiva >do Computador Local(Configuração do Computador ou Configuração do Usuário)>Templets> AdministrativosComponentes do Windows Internet>ExplorerInternet Painel de Controle>>Página>Avançada Desative o suporte à criptografia. Veja a Figura 7.
- Faça duplo clique em Desativar o suporte de encriptação.
Figura 7: Caminho para desativar o suporte à criptografia no Editor Política de Grupo - Selecione a opção Habilitado . Em seguida, use a lista suspensa para selecionar a versão TLS que deseja habilitar, como mostra a Figura 8.
Figura 8: Ativar desativação do suporte de criptografia e da lista suspensa
Depois de ativar a política no Editor de Política de Grupo, não poderá alterá-la nas Opções da Internet. Por exemplo, se você selecionar Usar SSL3.0 e TLS 1.0, todas as outras opções não estarão disponíveis nas Opções da Internet. Veja a Figura 9. Não pode alterar as definições nas Opções da Internet se ativar Desativar o suporte de encriptação no Editor de Política de Grupo.
Figura 9: Opções da Internet mostrando configurações de SSL e TLS indisponíveis
Habilite o TLS versão 1.1 e inferior (configurações winhttp)
Caminhos importantes do registo (definições de Explorer do wininet e da Internet)
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
- Aqui você pode encontrar SecureProtocols, que armazena o valor dos protocolos habilitados atualmente se você usar o Editor de Política de Grupo.
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- Aqui você pode encontrar SecureProtocols, que armazena o valor dos protocolos atualmente habilitados se você usar as Opções da Internet.
Política de Grupo SecureProtocols terá precedência sobre o definido pelas Opções da Internet.
Habilitando o fallback de TLS não seguro
As modificações acima habilitarão o TLS 1.0 e o TLS 1.1. No entanto, eles não habilitarão o fallback de TLS. Para habilitar o fallback de TLS, você deve definir EnableInsecureTlsFallback como 1 no registro nos caminhos abaixo.
- Para alterar as configurações: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- Para definir a política: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
Se EnableInsecureTlsFallback não estiver presente, você deverá criar uma nova entrada DWORD e defini-la como 1.
Caminhos importantes do Registro
ForceDefaultSecureProtocols
- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- É FALSO por padrão. A definição de um valor diferente de zero impedirá que os aplicativos definam protocolos personalizados usando a opção winhttp.
EnableInsecureTlsFallback
- Para alterar as configurações: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- Para definir a política: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
- É FALSO por padrão. A configuração de um valor diferente de zero permitirá que os aplicativos retornem a protocolos não seguros (TLS1.0 e 1.1) se o handshake falhar com protocolos seguros (tls1.2 e superior).