更新以啟用 TLS 1.1 和 TLS 1.2 作為 Windows 中 WinHTTP 的預設安全通訊協定

套用到

Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Foundation Windows Server 2008 R2 for Itanium-Based Systems Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter

此更新提供對 TLS) 1.1 與 TLS 1.2 (Windows Server 2012、Windows 7 服務包 1 (SP1) ，以及 2008 Windows Server R2 SP1 的傳輸層安全性的支援。

關於此更新

使用 WinHTTP 用於安全套接字層 (SSL) 連線且使用 WINHTTP_OPTION_SECURE_PROTOCOLS 標誌的應用程式與服務，無法使用 TLS 1.1 或 TLS 1.2 協定。這是因為此旗幟的定義未包含這些應用程式與服務。

此更新新增了對 DefaultSecureProtocols 登錄檔的支援，允許系統管理員指定在使用WINHTTP_OPTION_SECURE_PROTOCOLS標誌時應使用哪些 SSL 協定。

這使得某些原本使用 WinHTTP 預設標誌的應用程式，能夠原生使用較新的 TLS 1.2 或 TLS 1.1 協定，而無需更新應用程式。

這在某些 Microsoft Office 應用程式中，例如從 SharePoint 函式庫或 Web 資料夾開啟文件、使用 IP-HTTPS 隧道連接 DirectAccess 以及其他使用 WebDav、WinRM 等技術開啟文件時的情況。

此更新要求 Windows 7 中 Schannel) 元件的 Secure Channel (必須配置為支援 TLS 1.1 與 1.2。由於這些協定版本在 Windows 7 中預設未啟用，您必須設定登錄檔設定，以確保 Office 應用程式能成功使用 TLS 1.1 與 1.2。

此更新不會改變手動設定安全協定而非傳入預設標誌的應用程式行為。

如何取得此更新

重要如果您在安裝此更新後安裝語言包，必須重新安裝。因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。如需詳細資訊，請參閱將語言套件新增到 Windows (英文)。

方法 1：Windows Update

此更新作為 Windows Update 的推薦更新提供。如需有關如何執行 Windows Update 的詳細資訊，請參閱如何透過 Windows Update 取得更新 (機器翻譯)。

方法 2：Microsoft Update Catalog

若要取得此更新的獨立套件，請前往 Microsoft Update Catalog 網站。

更新細節資訊

先決條件

要套用此更新，您必須安裝 Windows 7 服務包 1 或 Windows Server 2008 R2。

在 Windows Server 2012 中套用此更新並無任何先決條件。

登錄資訊

要套用此更新，必須新增 DefaultSecureProtocols 登錄子鍵。
註你可以手動新增登錄檔子鍵，或安裝「Easy fix」來填入登錄檔子鍵。

重新啟動需求

套用此更新後，您可能須重新啟動電腦。

更新取代資訊

此更新不會取代任何先前發行的更新。

更多資訊

支付卡產業 (PCI) 要求符合 TLS 1.1 或 TLS 1.2 標準。

欲了解更多關於WINHTTP_OPTION_SECURE_PROTOCOLS旗的資訊，請參閱期權旗標。

DefaultSecureProtocols 登錄檔項目的運作方式

重要此章節、方法或工作包含有關如何修改登錄的步驟。不過，如果您修改登錄的方法不正確，可能會發生嚴重的問題。因此，請務必謹慎遵循這些步驟。您也可以在修改前先備份登錄，以增強保護效果。萬一發生問題，您就可以還原登錄。如需進一步了解如何備份及還原登錄的相關資訊，請參閱如何在 Windows 中備份及還原登錄。

當應用程式指定 WINHTTP_OPTION_SECURE_PROTOCOLS，系統會檢查 DefaultSecureProtocols 登錄檔條目，若有則以登錄檔條目中指定的協定覆蓋 WINHTTP_OPTION_SECURE_PROTOCOLS 預設協定。如果登錄檔不存在，WinHTTP 將使用現有作業系統對 Win WINHTTP_OPTION_SECURE_PROTOCOLS HTTP 的預設值。這些 WinHTTP 預設遵循現有的優先順序規則，並被 SCHANNEL 禁用的協定及 WinHttpSetOption 為每個應用程式設定的協定覆蓋。

註熱修補程式安裝程式不會新增 DefaultSecureProtocols 值。管理員必須在確定覆寫協議後手動新增條目。或者，你也可以安裝「Easy fix」自動新增條目。

DefaultSecureProtocols 登錄檔的條目可透過以下路徑新增：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp

在基於 x64 的電腦上，DefaultSecureProtocol 也必須加入 Wow6432Node 路徑：

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp

登錄檔值為 DWORD 位圖。所使用的值是將對應於所需協議的數值相加來決定的。

DefaultSecureProtocols 值	協定啟用
0x00000008	預設啟用 SSL 2.0
0x00000020	預設啟用 SSL 3.0
0x00000080	預設啟用 TLS 1.0
0x00000200	預設啟用 TLS 1.1
0x00000800	預設啟用 TLS 1.2

例如：

管理員想覆蓋 WINHTTP_OPTION_SECURE_PROTOCOLS 的預設值，以指定 TLS 1.1 和 TLS 1.2。

取 TLS 1.1 (0x00000200) 和 TLS 1.2 (0x00000800) 的值，然後在程式設計模式) 的計算機 (中加起來，結果的登錄檔值就是 0x00000A00。

簡單解決

若要自動新增 DefaultSecureProtocols 登錄子鍵，請點此。在 [檔案下載] 對話方塊中，按一下 [執行] 或 [開啟]，接著按照簡易修正精靈中的步驟執行。

記事

此精靈可能只提供英文版本。不過，自動修正程式也適用於 Windows 的其他語言版本。
如果你不在有問題的電腦上，把簡單的解決方法存到隨身碟或光碟裡，然後在有問題的電腦上執行。

註除了 DefaultSecureProtocols 登錄子鍵外，Easy fix 還會在以下位置新增 SecureProtocols，以協助啟用 Internet Explorer 的 TLS 1.1 與 1.2。

啟用 TLS 1.1 與 1.2 的值值 0xA80 SecureProtocols 登錄檔項目將被新增於以下路徑中：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings

在 Windows 7 的 SChannel 元件層啟用 TLS 1.1 和 1.2

根據 TLS-SSL 設定文章，要在 Windows 7 上啟用並協商 TLS 1.1 和 1.2，你必須在用戶端) (相應子鍵建立「DisabledByDefault」條目，並將其設為「0」。這些子鍵不會在登錄檔中建立，因為這些協定預設是被停用的。

建立 TLS 1.1 與 1.2 所需的子鍵;建立 DisabledByDefault DWORD 值，並在以下位置將其設為 0：

針對 TLS 1.1

登錄檔位置： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client
DWORD 名稱：DisabledByDefault
DWORD 值：0

針對 TLS 1.2

登錄檔位置： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
DWORD 名稱：DisabledByDefault
DWORD 值：0

檔案資訊

此軟體更新的英文 (美國) 版會安裝具有下表中所列屬性的檔案。

Windows 7 與 Windows Server 2008 R2

記事

適用於特定產品、里程碑 (RTM、SPn) 及服務分支 (LDR、GDR) 的檔案，可透過檢視下表所示的檔案版本號來辨識。

版本產品里程碑服務分支

6.1.760 1.23 xxx Windows 7 或 Windows Server 2008 R2 SP1 LDR

版本	產品	里程碑	服務分支
6.1.760 1.23 xxx	Windows 7 或 Windows Server 2008 R2	SP1	LDR

GDR 服務分支只包含針對普遍的嚴重問題所發行的通用修正程式。 LDR 服務分支除了通用修正程式之外，還包含 Hotfix。
每個環境安裝的 MANIFEST 檔案 (.manifest) 和 MUM 檔案 (.mum) 會列在＜其他檔案資訊＞一節中。 MUM、MANIFEST 及相關的安全性目錄 (.cat) 檔案對維持已更新元件的狀態而言，非常重要。屬性未列出的安全性目錄檔案是以 Microsoft 數位簽章簽署。

x86 Windows 7

檔案名稱	檔案版本	檔案大小	日期	時間	平台
Webio.dll	6.1.7601.23375	316,416	2016年3月9日	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	2016年3月9日	18:40	x86

ia64 Windows Server 2008 R2

檔案名稱	檔案版本	檔案大小	日期	時間	平台
Webio.dll	6.1.7601.23375	695,808	2016年3月9日	17:57	IA-64
Winhttp.dll	6.1.7601.23375	811,520	2016年3月9日	17:57	IA-64
Webio.dll	6.1.7601.23375	316,416	2016年3月9日	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	2016年3月9日	18:40	x86

x64 Windows 7 與 Windows Server 2008 R2

檔案名稱	檔案版本	檔案大小	日期	時間	平台
Webio.dll	6.1.7601.23375	396,800	2016年3月9日	19:00	x64
Winhttp.dll	6.1.7601.23375	444,416	2016年3月9日	19:00	x64
Webio.dll	6.1.7601.23375	316,416	2016年3月9日	18:40	x86
Winhttp.dll	6.1.7601.23375	351,744	2016年3月9日	18:40	x86

Windows Server 2012

記事

適用於特定產品、里程碑 (RTM、SPn) 及服務分支 (LDR、GDR) 的檔案，可透過檢視下表所示的檔案版本號來辨識。

版本產品里程碑服務分支

6.2.920 0.21 xxx Windows Server 2012 RTM LDR

版本	產品	里程碑	服務分支
6.2.920 0.21 xxx	Windows Server 2012	RTM	LDR

GDR 服務分支只包含針對普遍的嚴重問題所發行的通用修正程式。 LDR 服務分支除了通用修正程式之外，還包含 Hotfix。
每個環境安裝的 MANIFEST 檔案 (.manifest) 和 MUM 檔案 (.mum) 會列在＜其他檔案資訊＞一節中。 MUM、MANIFEST 及相關的安全性目錄 (.cat) 檔案對維持已更新元件的狀態而言，非常重要。屬性未列出的安全性目錄檔案是以 Microsoft 數位簽章簽署。

x64 Windows Server 2012

檔案名稱	檔案版本	檔案大小	日期	時間	平台
Webio.dll	6.2.9200.21797	587,776	2016 年 3 月 8 日	15:40	x64
Winhttp.dll	6.2.9200.21797	711,680	2016 年 3 月 8 日	15:40	x64
Webio.dll	6.2.9200.21797	416,768	2016 年 3 月 8 日	16:04	x86
Winhttp.dll	6.2.9200.21797	516,096	2016 年 3 月 8 日	16:04	x86

附加檔案資訊