Windows Server 2008 R2でTLS 1.1および1.2が無効になっている理由はありますか?


17

Windows Server 2008 R2はTLS 1.1および1.2をサポートしているようですが、デフォルトでは無効になっています。

デフォルトで無効になっているのはなぜですか?

欠点はありますか?

回答:


11

Server 2008 R2 / Windows 7は、WindowsにTLS 1.1およびTLS 1.2のサポートを導入し、TLS 1.0を脆弱にする攻撃の前にリリースされたため、TLS 1.0が最も広く使用されているTLS 1.0がデフォルトであるだけの問題です。 Server 2008 R2のリリース時(2009年7月)。

確実にどのように知っているか、または設計決定が行われた「理由」がわからないが、Windows 7およびServer 2008 R2がWindowsファミリーに機能を導入し、Windows Server 2012がデフォルトでTLS 1.2を使用していることを考えると、それは当時の「物事が行われた方法」の問題であることを示唆しているようです。TLS 1.0は依然として「十分」であったため、デフォルトでしたが、TLS 1.1および1.2は、前方サポートと前方操作性のためにサポートされていました。

マイクロソフトの従業員によるこのtechnetブログでは、 TLSの新しいバージョンを有効にすることを推奨し、次の点にも注意しています(2011年10月現在)。

再びWebサーバーの中で、IIS 7.5はTLS 1.1とTLS 1.2をサポートする唯一のサーバーです。現在、OPENSSLにはサポートが含まれていないため、Apacheはこれらのプロトコルをサポートしていません。できれば、業界の新しい標準に追いつくことを願っています。

それをさらにサポートし、新しいTLSのバージョンは、それらが広く時点で新しいおよびサポートされているか、使用されなかったという単純な理由のためにサーバー2008 R2ではデフォルトで有効になっていなかったという考え- ApacheとOpenSSLがさえなかったサポート、まだそれらを、ましてやそれらをデフォルトとして使用します。

さまざまなSSL / TLSバージョンを有効および無効にする方法の詳細については、Microsoft KB記事番号245030のタイトルを参照してくださいHow to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll。明らかに、ClientキーはInternet Explorerを制御し、ServerキーはIISをカバーします。


1

私はこれを自分自身で疑問に思っていました...多分当時の既知の互換性の問題のために...このMSDNブログエントリを見つけました(2011年3月24日から):

http://blogs.msdn.com/b/ieinternals/archive/2011/03/25/misbehaving-https-servers-impair-tls-1.1-and-tls-1.2.aspx

サポートされていないプロトコルリクエストに応答するWebサーバーの「誤動作」について説明します。これにより、クライアントはサポートされているプロトコルにフォールバックせず、最終的にユーザーはWebサイトにアクセスできなくなります。

ここでそのブログエントリの一部を引用します。

サーバーはこのように動作することは想定されていません。代わりに、サーバーがサポートする最新のHTTPSプロトコルバージョン(「3.1」、別名TLS 1.0など)を使用して単純に応答する必要があります。大丈夫-WinINETのコードはフォールバックし、TLS 1.0のみを提供する接続を再試行します。WinINETには、TLS1.1および1.2がTLS1.0にフォールバックし、次にSSL3(有効な場合)、SSL2(有効な場合)にフォールバックするコードが含まれます。フォールバックのマイナス面はパフォーマンスです。新しい下位バージョンのハンドシェイクに必要な追加のラウンドトリップにより、通常、数十または数百ミリ秒のペナルティが発生します。

ただし、このサーバーはTCP / IP RSTを使用して接続を中止しました。これにより、WinINETのフォールバックコードが無効になり、接続シーケンス全体が破棄され、「Internet ExplorerはWebページを表示できません」というエラーメッセージが表示されます。

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.