วิธีปิดใช้งาน TLS 1.0 และ TLS 1.1 ใน Windows โดยใช้ GPO

ในบทความนี้ เราจะแสดงวิธีปิดใช้งานโปรโตคอล Transport Layer Security เวอร์ชันเดิมใน Windows โดยใช้ Group Policies เวอร์ชัน TLS 1.0 และ 1.1 ไม่ปลอดภัยอีกต่อไป และควรปิดใช้งานตามค่าเริ่มต้นสำหรับบริการทั้งหมด หากคุณย้ายบริการทั้งหมดของคุณไปยัง TLS 1.2 หรือ TLS 1.3 คุณสามารถปิดใช้งานการสนับสนุนสำหรับโปรโตคอลดั้งเดิมบนไคลเอนต์และเซิร์ฟเวอร์ Windows ของคุณโดยใช้ GPO

บนไคลเอนต์ Windows คุณสามารถดูรายการเวอร์ชันโปรโตคอล TLS ที่เปิดใช้งานสำหรับเบราว์เซอร์ได้ใน ตัวเลือกอินเทอร์เน็ต (

inetcpl.cpl

). ภาพหน้าจอนี้แสดงว่าเปิดใช้งาน TLS 1.0, TLS 1.1, TLS 1.2 และ TLS 1.3 เมื่อสร้างการเชื่อมต่อกับเซิร์ฟเวอร์ เวอร์ชัน TLS สูงสุดที่ทั้งไคลเอนต์และเซิร์ฟเวอร์รองรับจะถูกเลือกสำหรับการเข้ารหัส

คุณสามารถตั้งค่ารายการโปรโตคอล TLS/SSL ที่เปิดใช้งานได้ในแท็บตัวเลือกอินเทอร์เน็ตบนไคลเอ็นต์โดยใช้ตัวเลือก ปิดการสนับสนุนการเข้ารหัส GPO ภายใต้การกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ -> ส่วนประกอบของ Windows -> Internet Explorer - > แผงควบคุม Internet Explorer -> หน้าขั้นสูง

เปิดใช้งานนโยบายและเลือก TLS/SSL เวอร์ชันที่ผู้ใช้ของคุณจะได้รับอนุญาตให้ใช้ในรายการแบบเลื่อนลง ชุดโปรโตคอลที่ปลอดภัย

คุณจะต้องรีสตาร์ทคอมพิวเตอร์เพื่อใช้การตั้งค่า GPO ใหม่ เปิดตัวเลือกอินเทอร์เน็ตอีกครั้ง และตรวจสอบให้แน่ใจว่ามีเฉพาะเวอร์ชัน TLS ที่คุณอนุญาตใน GPO เท่านั้น ผู้ใช้จะไม่สามารถเปลี่ยนการตั้งค่าเหล่านี้ได้ (โปรดทราบว่า การตั้งค่าบางอย่างได้รับการจัดการโดยข้อความผู้ดูแลระบบของคุณ)

ขออภัย คุณไม่สามารถเปิดใช้เฉพาะ TLS 1.3 และ TLS 1.2 ที่นี่ได้ เนื่องจากไม่มีตัวเลือกดังกล่าวใน GPO นอกจากนี้ยังไม่ปิดใช้งานการสนับสนุน TLS 1.0 และ TLS 1.1 ที่ด้านข้างของ Windows Server ของคุณ (เช่น ใน IIS หรือ Exchange)

ดังนั้นจึงเป็นการดีกว่าที่จะปิดใช้งาน TLS เวอร์ชันดั้งเดิมโดยตรงผ่านรีจิสตรี คุณสามารถใช้ GPO เพื่อปรับใช้พารามิเตอร์รีจิสทรีที่คุณต้องการกับคอมพิวเตอร์โดเมน

หากต้องการปิดใช้งาน TLS 1.0 บน Windows ทั้งสำหรับไคลเอนต์และเซิร์ฟเวอร์ ให้เพิ่มตัวเลือกต่อไปนี้ในรีจิสทรี:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

คุณสามารถปิดใช้งานโปรโตคอลอื่นๆ ได้ด้วยวิธีเดียวกัน ก็เพียงพอแล้วที่จะแทนที่เส้นทางที่ไฮไลต์ในรีจิสทรีด้วย SSL 2.0, SSL 3.0, TLS 1.1 เป็นต้น

หากต้องการบังคับเปิดใช้งาน TLS 1.2 ให้เพิ่มรายการรีจิสทรีด้านล่าง:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001

ดังนั้น. คุณจะเห็นสิ่งต่อไปนี้ในส่วน Computer Configuration -> Preferences -> Windows Settings -> Registry ของ GPO

รีสตาร์ท Windows เพื่อใช้การตั้งค่า

นอกจากการเปลี่ยนการตั้งค่าเวอร์ชัน TLS ที่มีอยู่ในรีจิสทรีแล้ว คุณต้องอนุญาตให้ใช้ TLS 1.2 สำหรับแอป NET 3.5 และ 4.x และสำหรับ WinHTTP ตัวอย่างเช่น Outlook ใช้การตั้งค่าการเข้ารหัสสำหรับ WinHTTP (เรียนรู้เพิ่มเติมในบทความนี้)

ในการเปิดใช้งานโปรโตคอลการเข้ารหัสระบบสำหรับ .Net 3.5 และ 2.0:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001

สำหรับ .Net 4.x:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001

วิธีเปิดใช้งาน TLS 1.2 สำหรับ WinHTTP:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800

บน Windows Server คุณยังสามารถใช้เครื่องมือ ISS Crypto GUI (https://www.nartac.com/Products/IISCrypto/Download) เพื่อดูและกำหนดการตั้งค่า SCHANNEL