Sammanfattning
TLS (Transport Layer Security) 1.0 och 1.1 är säkerhetsprotokoll för att skapa krypteringskanaler över datornätverk. Microsoft har gett dem support sedan Windows XP och Windows Server 2003. Regulatoriska krav håller dock på att förändras. Det finns också nya säkerhetsbrister i TLS 1.0. Därför rekommenderar Microsoft att du tar bort TLS 1.0- och 1.1-beroenden. Vi rekommenderar även att du inaktiverar TLS 1.0 och 1.1 på operativsystemnivå där det är möjligt. Mer information finns i TLS 1.0 och 1.1 inaktivering. I förhandsversionsuppdateringen den 20 september 2022 inaktiverar vi TLS 1.0 och 1.1 som standard för program baserade på winhttp och wininet. Detta är en del av ett pågående arbete. I den här artikeln får du hjälp att aktivera dem igen. Dessa ändringar kommer att återspeglas när du har installerat Windows-uppdateringar som släpptes den 20 september 2022 eller senare.
Beteende vid åtkomst till TLS 1.0- och 1.1-länkar i webbläsaren
Efter den 20 september 2022 visas ett meddelande när webbläsaren öppnar en webbplats som använder TLS 1.0 eller 1.1. Se figur 1. Meddelandet anger att webbplatsen använder ett inaktuellt eller osäkert TLS-protokoll. Du kan åtgärda det genom att uppdatera TLS-protokollet till TLS 1.2 eller högre. Om detta inte är möjligt kan du aktivera TLS enligt beskrivningen i Aktivera TLS version 1.1 och tidigare.
Bild 1: Webbläsarfönster vid åtkomst till TLS 1.0- och 1.1-webbsidor
Beteende vid åtkomst till TLS 1.0- och 1.1-länkar i winhttp-program
Program som baseras på winhttp kan misslyckas efter uppdateringen. Felmeddelandet är "ERROR_WINHTTP_SECURE_FAILURE när du utför WinHttpSendRequest-åtgärden".
Beteende vid åtkomst till TLS 1.0- och 1.1-länkar i anpassade användargränssnittsprogram baserat på winhttp eller wininet
När ett program försöker skapa en anslutning med TLS 1.1 och lägre kan anslutningen verka misslyckas. När du stänger ett program eller om det slutar fungera visas dialogrutan Assistenten för programkompatibilitet (PCA) enligt bild 2.
Bild 2: Dialogrutan Program Compatibility Assistant när ett program har stängts
I dialogrutan PCA visas meddelandet "Det här programmet kanske inte har körts korrekt". Under det finns det två alternativ:
- Köra programmet med hjälp av kompatibilitetsinställningar
- Det här programmet kördes korrekt
Köra programmet med hjälp av kompatibilitetsinställningar
När du väljer det här alternativet öppnas programmet igen. Nu fungerar alla länkar som använder TLS 1.0 och 1.1 korrekt. Från och med då visas ingen PCA-dialogruta. Registereditorn lägger till poster i följande sökvägar:
- Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store.
- Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers.
Om du valde det här alternativet av misstag kan du ta bort de här posterna. Om du tar bort dem visas PCA-dialogrutan nästa gång du öppnar appen.
Bild 3: Lista över program som bör köras med kompatibilitetsinställningar
Det här programmet kördes korrekt
När du väljer det här alternativet stängs programmet normalt. Nästa gång du öppnar programmet igen visas ingen PCA-dialogruta. Systemet blockerar allt TLS 1.0- och 1.1-innehåll. Registereditorn lägger till följande post i sökvägen Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store. Se figur 4. Om du valde det här alternativet av misstag kan du ta bort posten. Om du tar bort posten visas dialogrutan PCA nästa gång du öppnar appen.
Bild 4: Post i Registereditorn som anger att appen kördes korrekt
Viktigt Äldre TLS-protokoll är endast aktiverade för specifika program. Det här gäller även om de är inaktiverade i systemomfattande inställningar.
Aktivera TLS version 1.1 och tidigare (inställningar för Wininet och Internet Explorer)
Vi rekommenderar inte att du aktiverar TLS 1.1 och lägre eftersom de inte längre anses vara säkra. De är sårbara för olika attacker, till exempel POODLE-attacken. Så innan du aktiverar TLS 1.1 gör du något av följande:
- Kontrollera om det finns en nyare version av programmet.
- Be apputvecklaren att göra konfigurationsändringar i appen för att ta bort beroendet av TLS 1.1 och lägre.
Om ingen av lösningarna fungerar finns det två sätt att aktivera äldre TLS-protokoll i systemomfattande inställningar:
- Internetalternativ
- Grupprincipredigeraren
Internetalternativ
Du öppnar Internetalternativ genom att skriva Internetalternativ i sökrutan i Aktivitetsfältet. Du kan också välja Ändra inställningar från dialogrutan som visas i figur 1. Bläddra nedåt på panelen Inställningar på fliken Avancerat . Där kan du aktivera eller inaktivera TLS-protokoll.
Bild 5: Dialogrutan Internetegenskaper
Redigeraren för Grupprincip
Om du vill öppna redigeraren för grupprincip skriver du gpedit.msc i sökrutan i Aktivitetsfältet. Ett fönster som liknar det som visas i figur 6 visas.
Bild 6: Fönstret Grupprincip Editor
- Navigera till Lokal datorprincip>(datorkonfiguration eller användarkonfiguration)>Administrativa tempel>Windows-komponenter>Internet Explorer>Internet Kontrollpanelen Internet Inaktivera>>stöd för kryptering. Se figur 7.
- Dubbelklicka: Inaktivera stöd för kryptering.
Bild 7: Sökväg för att inaktivera krypteringsstöd i Grupprincip Editor - Välj alternativet Aktiverad . Använd sedan listrutan för att välja den TLS-version som du vill aktivera enligt bild 8.
Bild 8: Aktivera stöd för att inaktivera kryptering och listruta
När du har aktiverat principen i Grupprincip Editor kan du inte ändra den i Internetalternativ. Om du till exempel väljer Använd SSL3.0 och TLS 1.0 kommer inga andra alternativ att vara tillgängliga i Internetalternativ. Se figur 9. Du kan inte ändra några inställningar i Internetalternativ om du aktiverar Inaktivera krypteringsstöd i Grupprincip Editor.
Bild 9: Internetalternativ som visar otillgängliga SSL- och TLS-inställningar
Aktivera TLS version 1.1 och tidigare (winhttp-inställningar)
Se Uppdatera för att aktivera TLS 1.1 och TLS 1.2 som förvalda säkra protokoll i WinHTTP i Windows.
Viktiga registersökvägar (wininet- och Internet Explorer-inställningar)
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
- Här hittar du SecureProtocols, som lagrar värdet för de för närvarande aktiverade protokollen om du använder grupprincip Editor.
Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- Här hittar du SecureProtocols, som lagrar värdet på de protokoll som för närvarande är aktiverade om du använder Internetalternativ.
Grupprincip SecureProtocols har företräde framför den som anges av Internetalternativ.
Aktivera osäker TLS-återställning
Ändringarna ovan aktiverar TLS 1.0 och TLS 1.1. Men de aktiverar inte TLS-återställning. Om du vill aktivera TLS-återställning måste du ange EnableInsecureTlsFallback till 1 i registret under sökvägarna nedan.
- Så här ändrar du inställningar: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- Så här ställer du in princip: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
Om EnableInsecureTlsFallback inte finns måste du skapa en ny DWORD-post och ange värdet 1.
Viktiga registersökvägar
ForceDefaultSecureProtocols (ForceDefaultSecureProtocols)
- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- Värdet är FALSE som standard. Om du anger ett värde som inte är noll hindrar du program från att ange anpassade protokoll med hjälp av alternativet winhttp.
EnableInsecureTlsFallback
- Så här ändrar du inställningar: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp
- Så här ställer du in princip: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings
- Värdet är FALSE som standard. Genom att ange ett värde som inte är noll kan program återgå till osäkra protokoll (TLS 1.0 och 1.1) om handskakningen misslyckas med säkra protokoll (TLS 1.2 och senare).