Що таке протокол безпеки за замовчуванням для спілкування з серверами, які підтримують до TLS 1.2? Буде чи .NETза замовчуванням, виберіть найвищий протокол безпеки , підтримуваний на стороні сервера або у мене явно додати цей рядок коду:

System.Net.ServicePointManager.SecurityProtocol = 
SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Чи є спосіб змінити цей типовий параметр, крім зміни коду?

Нарешті, чи .NET 4.0підтримує лише до TLS 1.0? тобто мені потрібно оновити клієнтські проекти до 4,5 для підтримки TLS 1.2.

Моя мотивація - видалити підтримку SSLv3на стороні клієнта, навіть якщо сервер її підтримує (у мене вже є скрипт повноважень, щоб відключити це в машинному реєстрі) та підтримувати найвищий протокол TLS, який підтримує сервер.

Оновлення: Дивлячись на ServicePointManagerклас у, .NET 4.0я не бачу перелічених значень для TLS 1.0та 1.1. В обох випадках .NET 4.0/4.5за замовчуванням є SecurityProtocolType.Tls|SecurityProtocolType.Ssl3. Сподіваємось, цей дефолт не порушиться, відключившись SSLv3у реєстрі.

Однак я вирішив, що мені потрібно оновити всі додатки .NET 4.5і явно додати SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;все-таки код завантаження всіх програм.

Це призведе до вихідних запитів до різних apis та служб, щоб вони не переходили до рівня SSLv3та повинні вибрати найвищий рівень TLS.

Чи звучить цей підхід розумним чи непосильним? У мене є багато додатків для оновлення, і я хочу їх підтвердити в майбутньому, оскільки я чую, що навіть TLS 1.0найближчим часом деякі постачальники послуг можуть бути застарілими.

Чи відключення SSL3 в реєстрі, як клієнт, що робить виїзні запити до API, чи впливає в рамках .NET? Я бачу, що за замовчуванням TLS 1.1 та 1.2 не ввімкнено, чи потрібно це ввімкнути через реєстр? RE http://support.microsoft.com/kb/245030 .

Після невеликого розслідування, я вважаю, що настройки реєстру не вплинуть, оскільки вони застосовуються до IIS (підрозділ сервера) та браузерах (підрозділ клієнта).

Вибачте, ця публікація перетворилася на кілька запитань, а також відповіді "можливо".

Деякі з тих, хто залишає коментарі, зазначили, що встановлення System.Net.ServicePointManager.SecurityProtocolконкретних значень означає, що ваша програма не зможе скористатися майбутніми версіями TLS, які можуть стати значеннями за замовчуванням у майбутніх оновленнях до .NET. Замість того, щоб вказувати фіксований список протоколів, ви можете замість цього вимкнути або вимкнути протоколи, про які ви знаєте і про що піклуєтесь, залишивши будь-які інші такими, якими вони є.

Щоб увімкнути TLS 1.1 та 1.2, не впливаючи на інші протоколи:

System.Net.ServicePointManager.SecurityProtocol |= 
    SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Зауважте, як |=увімкнути ці прапори, не вимикаючи інших.

Щоб вимкнути SSL3, не впливаючи на інші протоколи:

System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;

За замовчуванням System.Net.ServicePointManager.SecurityProtocolв обох .NET 4.0/4.5є SecurityProtocolType.Tls|SecurityProtocolType.Ssl3.

.NET 4.0підтримує до, TLS 1.0поки .NET 4.5підтримує доTLS 1.2

Однак націлювання на додаток .NET 4.0все ще може підтримувати, TLS 1.2якщо .NET 4.5встановлено в одному середовищі. .NET 4.5встановлюється поверх .NET 4.0, замінюючи System.dll.

Я перевірив це, дотримуючись правильного протоколу безпеки, встановленого в трафіку, fiddler4та встановивши перелічені значення в .NET 4.0проекті вручну :

ServicePointManager.SecurityProtocol = (SecurityProtocolType)192 |
(SecurityProtocolType)768 | (SecurityProtocolType)3072;

Довідка:

namespace System.Net
{
    [System.Flags]
    public enum SecurityProtocolType
    {
       Ssl3 = 48,
       Tls = 192,
       Tls11 = 768,
       Tls12 = 3072,
    }
}

Якщо ви спробуєте зламати навколишнє середовище з .NET 4.0встановленим ТОЛЬКО , ви отримаєте виняток:

Неопрацьоване виняток: System.NotSupportedException: Запитаний протокол безпеки не підтримується. на System.Net.ServicePointManager.set_SecurityProtocol (SecurityProtocolType v alue)

Однак я б не рекомендував цей "хак", оскільки майбутній патч тощо може зламати його. *

Тому я вирішив найкращим способом усунути підтримку SSLv3:

1. Оновіть усі програми до .NET 4.5

2. Додайте наступне до завантажувального коду, щоб змінити типовий і майбутній доказ:

   System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

* Хтось виправить мене, якщо цей злом невірний, але початкові тести, я бачу, він працює

Ви можете змінити поведінку за замовчуванням у наступному реєстрі:

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

і

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

Детальніше див. У впровадженніServicePointManager .

Створіть текстовий файл із .regрозширенням та наступним вмістом:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

Або завантажити його з наступного джерела:

https://tls1test.salesforce.com/s/NET40-Enable-TLS-1_2.reg

Двічі клацніть для встановлення ...

Я виявив, що, коли я вказую лише TLS 1.2, він все ще знизиться до 1.1. System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

Я вказав це у способі запуску Global.asax для мого веб-додатка .net 4.5.

Наступний код:

• друкувати включені протоколи
• друкувати наявні протоколи
• увімкніть TLS1.2, якщо платформа підтримує її і якщо вона не включена для початку
• відключіть SSL3, якщо він включений
• друкувати кінцевий результат

Константи:

• 48 - це SSL3
• 192 - це TLS1
• 768 - TLS1.1
• 3072 - TLS1.2

На інші протоколи це не вплине. Це робить це сумісним з майбутніми протоколами (Tls1.3 тощо).

Код

// print initial status
    Console.WriteLine("Runtime: " + System.Diagnostics.FileVersionInfo.GetVersionInfo(typeof(int).Assembly.Location).ProductVersion);
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);
    Console.WriteLine("Available protocols: ");
    Boolean platformSupportsTls12 = false;
    foreach (SecurityProtocolType protocol in Enum.GetValues(typeof(SecurityProtocolType))) {                
        Console.WriteLine(protocol.GetHashCode());
        if (protocol.GetHashCode() == 3072){
            platformSupportsTls12 = true;
        }
    }
    Console.WriteLine("Is Tls12 enabled: " + ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072));    


// enable Tls12, if possible
    if (!ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072)){
        if (platformSupportsTls12){
            Console.WriteLine("Platform supports Tls12, but it is not enabled. Enabling it now.");
            ServicePointManager.SecurityProtocol |= (SecurityProtocolType)3072;
        } else {
            Console.WriteLine("Platform does not supports Tls12.");
        }
    }

// disable ssl3
   if (ServicePointManager.SecurityProtocol.HasFlag(SecurityProtocolType.Ssl3)) { 
      Console.WriteLine("Ssl3SSL3 is enabled. Disabling it now.");
      // disable SSL3. Has no negative impact if SSL3 is already disabled. The enclosing "if" if just for illustration.
      System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;                      
   }
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);

Вихідні дані

Runtime: 4.7.2114.0
Enabled protocols:   Ssl3, Tls
Available protocols: 
0
48
192
768
3072
Is Tls12 enabled: False
Platform supports Tls12, but it is not enabled. Enabling it now.
Ssl3 is enabled. Disabling it now.
Enabled protocols:   Tls, Tls12

Проблему я отримав, коли мій клієнт оновив TLS з 1,0 до 1,2. Моя програма використовує .net Framework 3.5 і працює на сервері. Тому я виправив це таким чином:

1. Зафіксуйте програму

Перш ніж зателефонувати на HttpWebRequest.GetResponse (), додайте цю команду:

ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolTypeExtensions.Tls11 | SecurityProtocolTypeExtensions.Tls12;

Розширення 2 DLL, додавши 2 нові класи: System.Net і System.Security.Authentication

    namespace System.Net
    {
        using System.Security.Authentication;
        public static class SecurityProtocolTypeExtensions
        {
            public const SecurityProtocolType Tls12 = (SecurityProtocolType)SslProtocolsExtensions.Tls12;
            public const SecurityProtocolType Tls11 = (SecurityProtocolType)SslProtocolsExtensions.Tls11;
            public const SecurityProtocolType SystemDefault = (SecurityProtocolType)0;
        }
    } 

    namespace System.Security.Authentication
    {
        public static class SslProtocolsExtensions
        {
            public const SslProtocols Tls12 = (SslProtocols)0x00000C00;
            public const SslProtocols Tls11 = (SslProtocols)0x00000300;
        }
    } 

2. Оновити пакет Microsoft

Завантажити пакет:

• Для Windows 2008 R2: windows6.1-kb3154518-x64.msu
• Для Windows 2012 R2: windows8.1-kb3154520-x64.msu

Для завантаження партії та додаткову інформацію ви можете побачити тут:

https://support.microsoft.com/en-us/help/3154518/support-for-tls-system-default-versions-included-in-the-.net-framework-3.5.1-on-windows-7 -sp1-і-сервер-2008-r2-sp1

Механізм зміни реєстру працював у мене після боротьби. Насправді моя програма працювала як 32-біт. Тому мені довелося змінити значення, яке знаходиться під контуром.

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft.NETFramework\v4.0.30319

Тип значення повинен бути DWORD і значення вище 0. Краще використовувати 1.

Я працюю під .NET 4.5.2, і я не був задоволений жодною з цих відповідей. Оскільки я розмовляю із системою, яка підтримує TLS 1.2, і я вважаю, що SSL3, TLS 1.0 та TLS 1.1 усі зламані та небезпечні для використання, я не хочу вмикати ці протоколи. Під .NET 4.5.2 протоколи SSL3 та TLS 1.0 включені за замовчуванням, що я бачу в коді, перевіривши ServicePointManager.SecurityProtocol. Під .NET 4.7 є новеSystemDefaultрежим протоколу, який явно передає вибір протоколу в ОС, де я вважаю, що покладання на реєстр чи інші налаштування системи було б доречним. Схоже, це не підтримується в .NET 4.5.2. В інтересах написання коду, сумісного вперед, це дозволить приймати правильні рішення навіть тоді, коли TLS 1.2 неминуче порушується в майбутньому, або коли я переходжу на .NET 4.7+ і передаю більше відповідальності за вибір відповідного протоколу до ОС , Я прийняв такий код:

SecurityProtocolType securityProtocols = ServicePointManager.SecurityProtocol;
if (securityProtocols.HasFlag(SecurityProtocolType.Ssl3) || securityProtocols.HasFlag(SecurityProtocolType.Tls) || securityProtocols.HasFlag(SecurityProtocolType.Tls11))
{
    securityProtocols &= ~(SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolType.Tls11);
    if (securityProtocols == 0)
    {
        securityProtocols |= SecurityProtocolType.Tls12;
    }
    ServicePointManager.SecurityProtocol = securityProtocols;
}

Цей код виявить, коли відомий незахищений протокол включений, і в цьому випадку ми видалимо ці незахищені протоколи. Якщо ніяких інших явних протоколів не залишилося, ми змусимо ввімкнути TLS 1.2, як єдиний відомий захищений протокол, який підтримує .NET на даний момент часу. Цей код вперед сумісний, оскільки він буде враховувати нові типи протоколів, які він не знає про додавання в майбутньому, а також буде добре грати з новимSystemDefaultстану в .NET 4.7, тобто мені не доведеться повторно відвідувати цей код у майбутньому. Я настійно рекомендую прийняти такий підхід, а не жорстке кодування будь-якого конкретного протоколу безпеки беззастережно, інакше вам доведеться перекомпілювати та замінити клієнта новою версією, щоб оновити до нового протоколу безпеки, коли TLS 1.2 неминуче порушено, або, швидше за все, вам доведеться залишати наявні незахищені протоколи, включені роками на вашому сервері, роблячи вашу організацію мішенню для атак.

Microsoft нещодавно опублікувала найкращі практики щодо цього. https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls

Підсумок

Націліть .Net Framework 4.7, видаліть будь-який код, що встановлює SecurityProtocol, таким чином ОС забезпечить використання найбільш безпечного рішення.

Примітка: Вам також потрібно буде забезпечити підтримку та включення останньої версії TLS у вашій ОС.

OS                          TLS 1.2 support

Windows 10                  \_ Supported, and enabled by default.
Windows Server 2016         /   
Windows 8.1                 \_ Supported, and enabled by default.
Windows Server 2012 R2      /
Windows 8.0                 \_ Supported, and enabled by default.
Windows Server 2012         /
Windows 7 SP1               \_ Supported, but not enabled by default*.
Windows Server 2008 R2 SP1  /
Windows Server 2008         -  Support for TLS 1.2 and TLS 1.1 requires an update. See Update to add support for TLS 1.1 and TLS 1.2 in Windows Server 2008 SP2.
Windows Vista               -  Not supported.

* To enable TLS1.2 via the registry see https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings#tls-12 

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Server

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Client

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

Для отримання додаткової інформації та старих рамок, перейдіть за посиланням MS.

Для повноти, ось сценарій Powershell, який встановлює згадані ключі реєстру:

new-itemproperty -path "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord";
new-itemproperty -path "HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord"

Альтернатива жорсткому кодуванню ServicePointManager.SecurityProtocolабо явному ключу SchUseStrongCrypto, як згадувалося вище:
Ви можете сказати .NET використовувати налаштування SCHANNEL за замовчуванням за допомогою клавіші SystemDefaultTlsVersions,
наприклад:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001

Найкращим рішенням цієї проблеми, як видається, є оновлення принаймні до .NET 4.6 або пізнішої версії, яка автоматично вибере сильні протоколи, а також сильні шифри.

Якщо ви не можете оновити до .NET 4.6, порадити налаштування

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

І за допомогою налаштувань реєстру:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 - SchUseStrongCrypto = DWORD 1 HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Microsoft.NETFramework \ v4.0.30319 - SchUseStroWC

Результати у використанні чогось іншого, крім TLS 1.0 та потужного шифру.

У моєму тестуванні лише налаштування в Wow6432Node змінило будь-яку зміну, навіть якщо мій тестовий додаток було розроблено для будь-якого процесора.

Відповідно до кращих практик безпеки транспортного шару (TLS) щодо .NET Framework : Щоб забезпечити збереження програм .NET Framework, версію TLS не слід жорстко кодувати. Замість цього встановіть ключі реєстру: SystemDefaultTlsVersions і SchUseStrongCrypto :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

Якщо ви можете використовувати .NET 4.7.1 або новішу версію, він використовуватиме TLS 1.2 як мінімальний протокол на основі можливостей операційної системи. За рекомендацією Microsoft:

To ensure .NET Framework applications remain secure, the TLS version should not be hardcoded. .NET Framework applications should use the TLS version the operating system (OS) supports.

Для ключа: HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 Значення: SchUseStrongCrypto

Ви повинні встановити значення в 1.