Was ist das Standardsicherheitsprotokoll für die Kommunikation mit Servern, die bis zu unterstützen TLS 1.2? Wille.NET standardmäßig das höchste Sicherheitsprotokoll, das auf der Serverseite unterstützt wird, oder muss ich diese Codezeile explizit hinzufügen:

System.Net.ServicePointManager.SecurityProtocol = 
SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Gibt es neben einer Codeänderung eine Möglichkeit, diese Standardeinstellung zu ändern?

Schließlich unterstützt .NET 4.0nur bis zu TLS 1.0? dh ich muss Client-Projekte auf 4.5 aktualisieren, um zu unterstützenTLS 1.2 .

Meine Motivation ist es, die Unterstützung für zu entfernen SSLv3 auf der Clientseite auch wenn der Server dies unterstützt (ich habe bereits ein Powershell-Skript, um dies in der Maschinenregistrierung zu deaktivieren) und das höchste vom Server unterstützte TLS-Protokoll zu unterstützen.

Update: Wenn ich mir die ServicePointManagerKlasse in .NET 4.0ansehe, sehe ich keine aufgezählten Werte für TLS 1.0und 1.1. In beiden .NET 4.0/4.5Fällen ist die Standardeinstellung SecurityProtocolType.Tls|SecurityProtocolType.Ssl3. Hoffentlich wird dieser Standard nicht durch Deaktivieren SSLv3in der Registrierung unterbrochen.

Ich habe jedoch beschlossen, alle Apps auf alle Bootstrapping-Codes aller Anwendungen zu aktualisieren .NET 4.5und sie SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;trotzdem explizit hinzuzufügen .

Dadurch werden ausgehende Anforderungen an verschiedene APIs und Dienste gesendet, um kein Downgrade durchzuführen, SSLv3und es sollte die höchste Ebene von ausgewählt werden TLS.

Klingt dieser Ansatz vernünftig oder übertrieben? Ich muss viele Anwendungen aktualisieren, und ich möchte sie zukunftssicher machen, da ich höre, TLS 1.0dass einige Anbieter in naher Zukunft möglicherweise sogar veraltet sind.

Hat das Deaktivieren von SSL3 in der Registrierung als Client, der ausgehende Anforderungen an APIs stellt, überhaupt Auswirkungen auf das .NET Framework? Ich sehe standardmäßig, TLS 1.1 und 1.2 sind nicht aktiviert. Müssen wir es über die Registrierung aktivieren? RE http://support.microsoft.com/kb/245030 .

Nach einigen Nachforschungen glaube ich, dass die Registrierungseinstellungen keine Auswirkungen haben werden, da sie für IIS (Server-Unterschlüssel) und Browser (Client-Unterschlüssel) gelten.

Entschuldigung, dieser Beitrag wurde zu mehreren Fragen, gefolgt von "vielleicht" Antworten.

Einige derjenigen, die Kommentare hinterlassen, haben diese Einstellung zur Kenntnis genommen System.Net.ServicePointManager.SecurityProtocol bestimmter Werte dazu führt, dass Ihre App zukünftige TLS-Versionen nicht nutzen kann, die möglicherweise die Standardwerte in zukünftigen Updates für .NET werden. Anstatt eine feste Liste von Protokollen anzugeben, können Sie stattdessen Protokolle aktivieren oder deaktivieren, die Sie kennen und für die Sie sich interessieren, und alle anderen Protokolle so lassen, wie sie sind.

So aktivieren Sie TLS 1.1 und 1.2, ohne andere Protokolle zu beeinflussen:

System.Net.ServicePointManager.SecurityProtocol |= 
    SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Beachten Sie die Verwendung von |= , um diese Flags einzuschalten, ohne andere auszuschalten.

So deaktivieren Sie SSL3, ohne andere Protokolle zu beeinflussen:

System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;

Der Standard System.Net.ServicePointManager.SecurityProtocolin beiden .NET 4.0/4.5istSecurityProtocolType.Tls|SecurityProtocolType.Ssl3 .

.NET 4.0unterstützt bis zu einer TLS 1.0Weile.NET 4.5 unterstützt bis zuTLS 1.2

Jedoch ist eine Anwendung Targeting .NET 4.0unterstützen kann noch bis zu , TLS 1.2wenn .NET 4.5in der gleichen Umgebung installiert. .NET 4.5wird oben installiert .NET 4.0und ersetztSystem.dll .

Ich habe dies überprüft, indem ich das korrekte Sicherheitsprotokoll beobachtet habe, das im Datenverkehr mit festgelegt wurde, fiddler4und indem ich die aufgezählten Werte in einem .NET 4.0Projekt manuell festgelegt habe :

ServicePointManager.SecurityProtocol = (SecurityProtocolType)192 |
(SecurityProtocolType)768 | (SecurityProtocolType)3072;

Referenz:

namespace System.Net
{
    [System.Flags]
    public enum SecurityProtocolType
    {
       Ssl3 = 48,
       Tls = 192,
       Tls11 = 768,
       Tls12 = 3072,
    }
}

Wenn Sie den Hack in einer Umgebung versuchen, in der NUR .NET 4.0installiert ist, wird die Ausnahme angezeigt:

Nicht behandelte Ausnahme: System.NotSupportedException: Das angeforderte Sicherheitsprotokoll wird nicht unterstützt. bei System.Net.ServicePointManager.set_SecurityProtocol (Wert von SecurityProtocolType)

Ich würde diesen "Hack" jedoch nicht empfehlen, da ein zukünftiger Patch usw. ihn möglicherweise beschädigen kann. *

Aus diesem Grund habe ich beschlossen, dass der beste Weg zum Entfernen der Unterstützung folgende SSLv3ist:

1. Aktualisieren Sie alle Anwendungen auf .NET 4.5

2. Fügen Sie dem Boostrapping-Code Folgendes hinzu, um den Standard- und Zukunftssicherungscode zu überschreiben:

   System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

* Jemand korrigiert mich, wenn dieser Hack falsch ist, aber erste Tests, die ich sehe, funktionieren

Sie können das Standardverhalten in der folgenden Registrierung überschreiben:

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

und

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

Einzelheiten finden Sie in der Implementierung vonServicePointManager .

Erstellen Sie eine Textdatei mit einer .regErweiterung und den folgenden Inhalten:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

Oder laden Sie es von folgender Quelle herunter:

https://tls1test.salesforce.com/s/NET40-Enable-TLS-1_2.reg

Doppelklicken Sie zum Installieren ...

Ich habe festgestellt, dass, wenn ich nur TLS 1.2 spezifiziere, es immer noch auf 1.1 verhandelt. System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

Ich habe dies in der Global.asax-Startmethode für meine .net 4.5-Webanwendung angegeben.

Der folgende Code wird:

• druckfähige Protokolle
• verfügbare Protokolle drucken
• Aktivieren Sie TLS1.2, wenn die Plattform dies unterstützt und wenn es zunächst nicht aktiviert ist
• Deaktivieren Sie SSL3, wenn es aktiviert ist
• Endergebnis drucken

Konstanten:

• 48 ist SSL3
• 192 ist TLS1
• 768 ist TLS1.1
• 3072 ist TLS1.2

Andere Protokolle sind nicht betroffen. Dies macht dies kompatibel mit zukünftigen Protokollen (Tls1.3 usw.).

Code

// print initial status
    Console.WriteLine("Runtime: " + System.Diagnostics.FileVersionInfo.GetVersionInfo(typeof(int).Assembly.Location).ProductVersion);
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);
    Console.WriteLine("Available protocols: ");
    Boolean platformSupportsTls12 = false;
    foreach (SecurityProtocolType protocol in Enum.GetValues(typeof(SecurityProtocolType))) {                
        Console.WriteLine(protocol.GetHashCode());
        if (protocol.GetHashCode() == 3072){
            platformSupportsTls12 = true;
        }
    }
    Console.WriteLine("Is Tls12 enabled: " + ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072));    


// enable Tls12, if possible
    if (!ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072)){
        if (platformSupportsTls12){
            Console.WriteLine("Platform supports Tls12, but it is not enabled. Enabling it now.");
            ServicePointManager.SecurityProtocol |= (SecurityProtocolType)3072;
        } else {
            Console.WriteLine("Platform does not supports Tls12.");
        }
    }

// disable ssl3
   if (ServicePointManager.SecurityProtocol.HasFlag(SecurityProtocolType.Ssl3)) { 
      Console.WriteLine("Ssl3SSL3 is enabled. Disabling it now.");
      // disable SSL3. Has no negative impact if SSL3 is already disabled. The enclosing "if" if just for illustration.
      System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;                      
   }
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);

Ausgabe

Runtime: 4.7.2114.0
Enabled protocols:   Ssl3, Tls
Available protocols: 
0
48
192
768
3072
Is Tls12 enabled: False
Platform supports Tls12, but it is not enabled. Enabling it now.
Ssl3 is enabled. Disabling it now.
Enabled protocols:   Tls, Tls12

Ich habe das Problem erhalten, als mein Kunde TLS von 1.0 auf 1.2 aktualisiert hat. Meine Anwendung verwendet .net Framework 3.5 und wird auf dem Server ausgeführt. Also habe ich es so behoben:

1. Korrigieren Sie das Programm

Fügen Sie vor dem Aufruf von HttpWebRequest.GetResponse () den folgenden Befehl hinzu:

ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolTypeExtensions.Tls11 | SecurityProtocolTypeExtensions.Tls12;

Erweitert 2 DLLs durch Hinzufügen von 2 neuen Klassen: System.Net und System.Security.Authentication

    namespace System.Net
    {
        using System.Security.Authentication;
        public static class SecurityProtocolTypeExtensions
        {
            public const SecurityProtocolType Tls12 = (SecurityProtocolType)SslProtocolsExtensions.Tls12;
            public const SecurityProtocolType Tls11 = (SecurityProtocolType)SslProtocolsExtensions.Tls11;
            public const SecurityProtocolType SystemDefault = (SecurityProtocolType)0;
        }
    } 

    namespace System.Security.Authentication
    {
        public static class SslProtocolsExtensions
        {
            public const SslProtocols Tls12 = (SslProtocols)0x00000C00;
            public const SslProtocols Tls11 = (SslProtocols)0x00000300;
        }
    } 

2. Aktualisieren Sie den Microsoft-Stapel

Batch herunterladen:

• Für Windows 2008 R2: windows6.1-kb3154518-x64.msu
• Für Windows 2012 R2: windows8.1-kb3154520-x64.msu

Zum Download Batch und weitere Details finden Sie hier:

https://support.microsoft.com/en-us/help/3154518/support-for-tls-system-default-versions-included-in-the-.net-framework-3.5.1-on-windows-7 -sp1-and-server-2008-r2-sp1

Der Mechanismus zur Änderung der Registrierung hat nach einem Kampf für mich funktioniert. Eigentlich lief meine Anwendung als 32bit. Also musste ich den Wert unter Pfad ändern.

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft.NETFramework\v4.0.30319

Der Werttyp muss DWORD und ein Wert über 0 sein. Besser 1 verwenden.

Ich arbeite unter .NET 4.5.2 und war mit keiner dieser Antworten zufrieden. Da ich mit einem System spreche, das TLS 1.2 unterstützt und SSL3, TLS 1.0 und TLS 1.1 defekt und für die Verwendung unsicher sind, möchte ich diese Protokolle nicht aktivieren. Unter .NET 4.5.2 sind die Protokolle SSL3 und TLS 1.0 standardmäßig aktiviert, was ich durch Überprüfen im Code sehen kannServicePointManager.SecurityProtocol . Unter .NET 4.7 gibt es das NeueSystemDefaultProtokollmodus, der die Auswahl des Protokolls explizit an das Betriebssystem übergibt, wobei ich der Meinung bin, dass es angemessen wäre, sich auf die Registrierung oder andere Systemkonfigurationseinstellungen zu verlassen. Dies scheint jedoch unter .NET 4.5.2 nicht unterstützt zu werden. Im Interesse des Schreibens von vorwärtskompatiblem Code trifft dies auch dann die richtigen Entscheidungen, wenn TLS 1.2 in Zukunft unvermeidlich beschädigt wird oder wenn ich auf .NET 4.7+ aktualisiere und mehr Verantwortung für die Auswahl eines geeigneten Protokolls an das Betriebssystem übergebe Ich habe den folgenden Code übernommen:

SecurityProtocolType securityProtocols = ServicePointManager.SecurityProtocol;
if (securityProtocols.HasFlag(SecurityProtocolType.Ssl3) || securityProtocols.HasFlag(SecurityProtocolType.Tls) || securityProtocols.HasFlag(SecurityProtocolType.Tls11))
{
    securityProtocols &= ~(SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolType.Tls11);
    if (securityProtocols == 0)
    {
        securityProtocols |= SecurityProtocolType.Tls12;
    }
    ServicePointManager.SecurityProtocol = securityProtocols;
}

Dieser Code erkennt, wenn ein bekanntes unsicheres Protokoll aktiviert ist. In diesem Fall werden diese unsicheren Protokolle entfernt. Wenn keine anderen expliziten Protokolle übrig bleiben, erzwingen wir die Aktivierung von TLS 1.2, dem einzigen bekannten sicheren Protokoll, das zu diesem Zeitpunkt von .NET unterstützt wird. Dieser Code ist vorwärtskompatibel, da er neue Protokolltypen berücksichtigt, von denen er nicht weiß, dass sie in Zukunft hinzugefügt werden, und er wird auch mit dem neuen gut funktionierenSystemDefaultStatus in .NET 4.7, was bedeutet, dass ich diesen Code in Zukunft nicht mehr besuchen muss. Ich würde dringend empfehlen, einen solchen Ansatz zu wählen, anstatt bestimmte Sicherheitsprotokollzustände bedingungslos fest zu codieren. Andernfalls müssen Sie Ihren Client neu kompilieren und durch eine neue Version ersetzen, um bei TLS 1.2 auf ein neues Sicherheitsprotokoll zu aktualisieren ist unweigerlich defekt, oder es ist wahrscheinlicher, dass Sie die vorhandenen unsicheren Protokolle jahrelang auf Ihrem Server aktiviert lassen müssen, was Ihre Organisation zu einem Ziel für Angriffe macht.

Microsoft hat kürzlich Best Practices veröffentlicht. https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls

Zusammenfassung

Entfernen Sie in .NET Framework 4.7 den Code, der das SecurityProtocol festlegt, damit das Betriebssystem sicherstellt, dass Sie die sicherste Lösung verwenden.

NB: Sie müssen auch sicherstellen, dass die neueste Version von TLS auf Ihrem Betriebssystem unterstützt und aktiviert wird.

OS                          TLS 1.2 support

Windows 10                  \_ Supported, and enabled by default.
Windows Server 2016         /   
Windows 8.1                 \_ Supported, and enabled by default.
Windows Server 2012 R2      /
Windows 8.0                 \_ Supported, and enabled by default.
Windows Server 2012         /
Windows 7 SP1               \_ Supported, but not enabled by default*.
Windows Server 2008 R2 SP1  /
Windows Server 2008         -  Support for TLS 1.2 and TLS 1.1 requires an update. See Update to add support for TLS 1.1 and TLS 1.2 in Windows Server 2008 SP2.
Windows Vista               -  Not supported.

* To enable TLS1.2 via the registry see https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings#tls-12 

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Server

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Client

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

Weitere Informationen und ältere Frameworks finden Sie unter dem MS-Link.

Der Vollständigkeit halber finden Sie hier ein Powershell-Skript, mit dem die oben genannten Registrierungsschlüssel festgelegt werden:

new-itemproperty -path "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord";
new-itemproperty -path "HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord"

Eine Alternative zur HardcodierungServicePointManager.SecurityProtocol oder zum expliziten SchUseStrongCrypto- Schlüssel wie oben erwähnt:
Sie können .NET anweisen, die Standard-SCHANNEL-Einstellungen mit dem SystemDefaultTlsVersions-Schlüssel zu verwenden,
z.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001

Die BESTE Lösung für dieses Problem scheint ein Upgrade auf mindestens .NET 4.6 oder höher zu sein, bei dem automatisch starke Protokolle sowie starke Chiffren ausgewählt werden.

Wenn Sie kein Upgrade auf .NET 4.6 durchführen können, empfehlen wir die Einstellung

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

Und mit den Registrierungseinstellungen:

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 - SchUseStrongCrypto = DWORD von 1 HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Microsoft.NETFramework \ v4.0.30319 - SchUseStrongCrypto = DWORD von 1

Dies führt dazu, dass etwas anderes als TLS 1.0 und eine starke Verschlüsselung verwendet werden.

Bei meinen Tests hat nur die Einstellung im Wow6432Node einen Unterschied gemacht, obwohl meine Testanwendung für jede CPU erstellt wurde.

Gemäß den Best Practices für Transport Layer Security (TLS) mit .NET Framework : Um sicherzustellen, dass .NET Framework-Anwendungen sicher bleiben, sollte die TLS-Version nicht fest codiert werden. Legen Sie stattdessen die Registrierungsschlüssel fest: SystemDefaultTlsVersions und SchUseStrongCrypto :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

Wenn Sie .NET 4.7.1 oder höher verwenden können, wird TLS 1.2 als Mindestprotokoll verwendet, das auf den Funktionen des Betriebssystems basiert. Gemäß Microsoft-Empfehlung:

To ensure .NET Framework applications remain secure, the TLS version should not be hardcoded. .NET Framework applications should use the TLS version the operating system (OS) supports.

Für Schlüssel: HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 Wert: SchUseStrongCrypto

Sie müssen den Wert auf 1 setzen.