Клиент и сервер не поддерживают стандартную версию протокола ssl или комплект шифров что делать

Клиент и сервер поддерживают разные версии протокола SSL

Думал я уйду на выходные, проведу спокойно эти два дня с семьей или сделаю до конца свои проекты по недвижимости или для школы обучения программирования, но как говорится, не тут-то было. В обед, проверяя все свои сервера, увидел странную картину, сайты НЕ РАБОТАЮТ! Снова полетело ПО, опять переустановка CentOS, установка компонентов сервера или самое страшное — звонок в дата центр в Европу.

Выключив режим паники я решил проверить сайт. Действительно в браузере он не открывается, а Хром демонстрирует предупреждение, которое до сегодняшнего дня я ни разу не видел, именно: «Данный веб-сайт не сможет установить безопасное соединение. Используется неподдерживаемый протокол. Так что сервер и клиент поддерживают различные версии SSL.»

Очевидно, что трабл связан с действующим SSL, самое интересное, что на этом же компьютере имеются прочие проекты, и их SSL выданы в один день с неработающим веб-сайтом. Всё-таки что-то случилось с сервером или его ПО, стал делать бекап всего что есть на сервере, но меня не покидала мысль — проблема же в сертификате. Сервер работает, защита работает, все функции стабильно работают. Может быть санкции, отозвали выданные ранее сертификаты или ещё что-нибудь подобное.

А потом я вспомнил, что сертификаты на этом сервере были выданы компанией Cloudflare. А вот они-то любят чудить и делать такие вещи, после которых каждый сис. админ теряет большую часть волос не только на голове. Итак, расскажу что нужно делать если каким-то утром вы увидите на своём сайте подобную ошибку.

Первым делом заходим в свою учётную запись Cloudflare https://dash.cloudflare.com/, указываем логин, пароль и переходим сразу же в раздел SSL/TLS. Вспомним суть проблемы: браузер ругается, что не происходит рукопожатия клиента и сервера, поэтому доверия к такому сайту нет и браузер защищает нас от использования сайтом. А почему может возникать такая проблема — только если какая-то из сторон не «пожала руку», то есть не передала зашифрованное сообщение.

В первую очередь проверим, что там с сертификатом на сервере, выбрал в меню пункт Origin Certificates на Cloudflare. В Списке должны быть сертификаты на ваши хосты (обычно на домен и поддомен с www).

Если их там нет, тогда создаём новый сертификат и делаем всю настройку на сервере.

Если же сертификаты в этом пункте имеются в списках, переходим на сторону клиента в пункт меню Edge Certificates и в моём случае в списках не было ни одного сертификата.

Естественно спускаемся в самый низ страницы и находим пункт Disable Universal SSL и кликаем на одноимённую кнопку.

Обновляем страницу или ждём минуту и обновляем (у каждого по-разному) и активируем универсальный SSL сертификат снова, нажав на эту же кнопку, но с новым названием Enable Universal SSL.

По большей части всё. Нам предлагают подождать несколько минут, пока пройдёт проверка и минут через 5-10 всё, сайт будет спокойно открываться в любом браузере и сертификат будет активен и зелёный замочек будет светить у каждого посетителя вашего сайта. А у меня остался один день выходного и чувствую, что всё-таки я смогу провести это время с семьёй.

Протокол не поддерживается клиент и сервер используют разные версии протокола SSL или разные наборы шифров

Многие пользователи при входе на некоторые HTTPS-сайты, требующие цифровую подпись, сталкиваются с различными ошибками или уведомлениями о невозможности установления безопасного соединения. Если при попытке зайти на ресурс система сообщает о том, что «Протокол не поддерживается Клиент и сервер используют разные версии протокола SSL или разные наборы шифров», для решения проблемы стоит воспользоваться одним из описанных ниже способов.

Очистка cash и cookie

Прежде всего нужно сделать очистку браузера, включая cookie-файлы и cash. В Google Chrome, Yandex Browser и Opera комбинация клавиш «CTRL» + «H» открывает меню очистки истории. В Mozilla Firefox нужно вставить в адресную строку about:preferences#privacy и выделить галочками пункты «Cookie и данные сайтов» и «Кэшированное веб-содержимое». Для полной очистки необходимо выбрать временной промежуток «Все время» и нажать на клавишу «Удалить».

Отключение лишних расширений

Конфликт протоколов может быть вызван различными расширениями и дополнениями, которые были установлены в используемый браузер. Первым делом нужно отключить плагины, вмешивающиеся в трафик (VPN, антивирусные утилиты, proxy), и межсетевые экраны (программно-аппаратные средства, предназначенные для информационной защиты от анализа трафика). Для этого потребуется открыть меню расширений и удалить лишние. Если проблема с открытием нужного сайта не решилась, стоит отключить все дополнения. Открыть раздел настройки плагинов можно, вставив в адресную строку следующую комбинацию:

• Mozilla – about:addons;
• Opera Browser – opera://extensions;
• Яндекс Браузер — browser://tune/;
• Гугл Хром — chrome://extensions/.

Антивирус и файрвол

Антивирусные приложения, как и межсетевые экраны, могут стать причиной блокировки веб-сайтов. Поэтому в случае конфликта протоколов стоит временно отключить их. Большинство антивирусов позволяет проверять SST/TLS сертификаты. Если программа зафиксирует факт использования сайтом самоподписанных или обладающих плохой защитой сертификатов (бесплатных SSL), она автоматически заблокирует ресурс. То же самое может произойти с неактуальными версиями SSL-протоколов. Для решения проблемы нужно зайти в настройки антивируса, открыть раздел сканирования и выключить опцию автоматической проверки HTTPS/HTTP трафика и сертификатов SSL.

Для разных антивирусов решение будет отличаться, поскольку каждая программа может блокировать свои подразделы. К примеру, NOD32 фильтрует веб-протоколы, а Dr.Web не пропускает модуль проверки HTTP-трафика SpIDer Gate.

Настройка часового пояса

Некорректные настройки часового пояса или неправильно установленная дата могут стать причиной блокировки HTTPS-ресурса. Конфликт протоколов в данном случае связан с сетевой аутентификацией. ОС автоматически сверяет дату создания и истечения сертификатов, и при выявлении нестыковок доступ к определенному веб-сайту блокируется. Поэтому рекомендуется проверить настройки часового пояса и убедиться в том, что они установлены правильно.

Получить информацию о своем часовом поясе можно с помощью сервиса 2ip.ru. Сайт идентифицирует город, в котором зарегистрирован провайдер. Нужно выставить время, актуальное для своего населенного пункта, либо воспользоваться функцией автоматического определения.

Сертификаты операционной системы

Одна из самых распространенных причин конфликта протоколов связана с корневыми сертификатами операционной системы. Если ОС Windows долгое время не обновлялась, то скорей всего на компьютере будут отсутствовать доверенные (корневые) сертификаты Trusted Root. Исправить данный недочет можно посредством обновления ОС. Устанавливать актуальные апдейты необходимо с помощью «Центра обновлений». Если на компьютере установлена Windows 7, нужно обязательно загрузить Service Pack 1 (KB976932).

Поддержка протоколов

Для доступа к открытым веб-ресурсам без каких-либо затруднений можно воспользоваться усложненным способом (в отличие от описанных выше), который предполагает активацию поддержки SSL и TLS протоколов. Из-за того, что мошенники используют разные уловки и приемы для перехвата информации в HTTPS-трафике, указанные протоколы могут быть отключены. Активация устаревших версий SSL и TLS представляет собой серьезную угрозу для безопасности ОС во время пользования интернетом.

Прибегать к данному способу рекомендуется только в том случае, если перечисленные выше варианты не помогли устранить конфликт протоколов. Большинство популярных браузеров отказалось от ненадежных старых протоколов в пользу актуальных. Для активации устаревших TLS/SSL протоколов нужно проделать такие действия:

1. Открыть «Панель управления» и зайти в раздел «Свойства браузера».
2. Выбрать меню дополнительных настроек.
3. Установить галочки напротив строк TLS0, 1.1, 1.2 и SSL 2.0, 3.0.
4. Закрыть и снова открыть браузер.
5. Нажать на кнопку «Применить» и подтвердить выбор, кликнув по клавише «Ok».

Если данный алгоритм не помог решить проблему, стоит воспользоваться следующим вариантом:

1. Зайти в системную папку «System 32», найти «hosts» и убедиться в том, что статистические записи заполнены корректно.
2. Открыть «Сетевое подключение», перейти в раздел настроек, выбрать меню приоритетного DNS-сервера и вбить в поле для адреса 8.8.8.8.

Остается в «Панели управлений» кликнуть по свойствам браузера и установить средний либо высокий уровень безопасности для интернет-соединения. Пропускать данный шаг нельзя, в противном случае устранить проблему с блокировкой сайтов не получится.

Поддержка разных версий протокола SSL клиентом и сервером

Если конфликт протоколов наблюдается при попытке зайти на один из государственных порталов, нужно сделать следующие действия:

1. Если используется браузер Internet Explorer, необходимо выполнить проверку совместимости 10-й и 11-й версий.
2. Зайти в «Доверенные узлы» и включить в список нужный сайт.
3. Осуществить настройку параметров безопасности и всплывающих окон.
4. Установить автоматизированную обработку cookie.
5. Произвести удаление временных файлов, cookie, и очистить историю просмотров.
6. Активировать просмотр в режиме совместимости для нужного сайта.
7. Выполнить установку и настройку криптографической защиты Крипто ПРО CSP.
8. Выполнить инсталляцию и настройку плагина Крипто ПРО ЭЦП Browser (plug-in предназначен для проверки электронных подписей на различных ресурсах).

В случае устаревшего сертификата нужно сделать его перерегистрацию.

Заключение

Если при попытке зайти на сайт возникает системное уведомление о том, что «Протокол не поддерживается Клиент и сервер используют разные версии протокола SSL или разные наборы шифров», нужно очистить cash и cookie, отключить лишние плагины, расширения и антивирусную защиту. Также необходимо правильно установить настройки часового пояса, обновить сертификаты операционной системы и активировать поддержку SSL и TLS протоколов.

ERR SSL VERSION OR CIPHER MISMATCH в браузере — как исправить?

Среди наиболее распространенных ошибок в браузере Google Chrome, Microsoft Edge, Opera, Яндекс Браузер при открытии сайтов или определенных разделов в них — сообщение «Этот сайт не может обеспечить безопасное соединение. На сайте используется неподдерживаемый протокол» с кодом ошибки ERR_SSL_VERSION_OR_CIPHER_MISMATCH, а в подробностях — «Клиент и сервер поддерживают разные версии протокола SSL и набора шифров».

В этой инструкции подробно о том, как исправить ошибку ERR_SSL_VERSION_OR_CIPHER_MISMATCH для различных ситуаций и браузеров: как для «обычных» сайтов, так и для различных государственных сайтов, где проблема может иметь иной характер.

• Решение проблемы ERR SSL VERSION OR CIPHER MISMATCH
• Ошибка ERR SSL VERSION OR CIPHER MISMATCH для государственных сайтов с шифрованием по ГОСТ
• Видео инструкция

Решение проблемы «Неподдерживаемый протокол» ERR_SSL_VERSION_OR_CIPHER_MISMATCH

В общем случае ошибка возникает при установке зашифрованного соединения с сайтом на этапе TLS Handshake. Если на сайте используется протокол шифрования или длина ключа, не поддерживаемые вашим браузером, результат — ошибка ERR_SSL_VERSION_OR_CIPHER_MISMATCH.

В случае, если ошибка появляется при доступе к обычному сайту в Интернете: не являющемуся сайтом госструктуры, банка, сервиса закупок, вы можете использовать следующие методы для исправления проблемы (способы описаны для Windows 10, Windows 11 и предыдущих версий):

1. Нажмите клавиши Win+R на клавиатуре (Win — клавиша с эмблемой Windows), введите inetcpl.cpl и нажмите Enter. На вкладке «Дополнительно» включите TLS 1.0, 1.1, 1.2 и 1.3, если они не активны. Также попробуйте включить SSL 3.0.
2. Для браузера Google Chrome: откройте страницу chrome://flags (введите этот адрес в адресную строку и нажмите Enter), выполните поиск (поле вверху страницы) по слову TLS и отключите параметр «Enforce deprecation of legacy TLS versions» (установите в Disabled), выполните то же самое для параметра «Experimental QUIC protocol». После этого нажмите по появившейся кнопке перезапуска браузера.
3. Ещё одна опция, в Chrome последних версий, отключить которую можно тем же способом и способная вызывать рассматриваемую ошибку — TLS Post-Quantum Confidentiality, попробуйте отключить (установить в Disabled) и её тоже
4. Очистите SSL: также как на первом шаге откройте окно свойств Интернета (Win+R — inetcpl.cpl) и нажмите «Очистить SSL» на вкладке «Содержание».
5. Если на компьютере используется VPN или прокси, отключите их. Причем для системных параметров прокси отключите опцию «Автоматическое определение параметров» — в том же окне, что и на предыдущем шаге перейдите на вкладку «Подключения», нажмите «Настройка сети» и снимите отметку, если она установлена.
6. Функции защиты сети в сторонних антивирусах тоже могут оказаться причиной проблемы — попробуйте временно отключить их при наличии.
7. Попробуйте очистить кэш и куки браузера. В Google Chrome это можно сделать, нажав клавиши Ctrl+Shift+Delete и подтвердив удаление данных. Либо в разделе «Конфиденциальность и безопасность в настройках браузера.
8. Использование старой операционной системы (например, Windows XP) без возможности новых версий браузеров и без встроенной поддержки новых протоколов шифрования может приводить к указанной ошибке. Можно попробовать получить доступ к сайту по протоколу http, для этого в адресе сайта вручную измените https:// на http://

Если описываемые методы не помогли, то в теории причиной проблемы может оказаться очень старая версия браузера (особенно если вы используете portable-версию), или проблемы с самим сайтом, в частности с используемым им SSL-сертификатом и шифрованием. Но в этом случае могут помочь способы, описанные в следующем разделе для сайтов с шифрованием по ГОСТ.

Внимание: если проблема возникла с единственным сайтом и ранее она не наблюдалась, проблема может быть временной, например, при смене IP-адреса сайта, замене сертификата безопасности и других действиях со стороны администратора. В такой ситуации проблема обычно исчезает через некоторое время.

Ошибка ERR SSL VERSION OR CIPHER MISMATCH для государственных сайтов с шифрованием по ГОСТ

Среди сайтов, при доступе к которым браузер может выдавать указанную ошибку — различные сайты госструктур, иногда — банков, в рекомендациях по доступу к которым обычно указан браузер Internet Explorer (кстати, его использование действительно может решить проблему, но это не всегда возможно). Если вы также столкнулись с ошибкой при открытии такого сайта, возможные варианты действий:

1. Использовать Яндекс.Браузер (он поддерживает шифрование по российским ГОСТам) или Chromium Gost — https://www.cryptopro.ru/products/chromium-gost
2. Внимательно изучить информацию на проблемном сайте: в частности, в справке может быть указано на необходимость установке сертификатов на компьютере с инструкцией о том, как именно это выполнить.

Видео инструкция

Если в вашей ситуации работоспособным оказался какой-то иной способ, буду благодарен комментарию с его описанием: возможно, он сможет помочь кому-то из читателей.

А вдруг и это будет интересно:

• Лучшие бесплатные программы для Windows
• Тормозит мышь в Windows — варианты решения
• Как удалить пользователя Windows 11
• В манифесте указана неизвестная структура в Microsoft Store — варианты решения
• Как добавить комментарии, теги и рейтинги к папке Windows
• Не удается войти в учетную запись Windows — как исправить?

• Windows 11
• Windows 10
• Android
• Загрузочная флешка
• Лечение вирусов
• Восстановление данных
• Установка с флешки
• Настройка роутера
• Всё про Windows
• В контакте
• Одноклассники

Михаил 12.10.2021 в 07:45

• Dmitry 12.10.2021 в 12:39

Управление протоколами SSL/TLS и наборами шифров для AD FS

В следующей документации содержатся сведения об отключении и включении определенных протоколов TLS/SSL и наборов шифров, которые используют службы федерации Active Directory (AD FS) (AD FS).

Наборы шифров TLS/SSL, Schannel и шифров в AD FS

Протокол TLS обеспечивает зашифрованные защищенные коммуникации по сети. Протокол SSL шифрует обмен конфиденциальными данными, передаваемые между веб-сервером и веб-браузером, похожим на TLS. службы федерации Active Directory (AD FS) (AD FS) использует эти протоколы для обмена данными. Сегодня существуют несколько версий этих протоколов.

Канал безопасности (Schannel) — это поставщик поддержки безопасности (SSP), который реализует протоколы проверки подлинности SSL, TLS и DTLS в Интернете. Интерфейс поставщика поддержки безопасности (SSPI) является интерфейсом API, используемым системами Windows для выполнения функций, связанных с безопасностью, включая проверку подлинности. SSPI функционирует как общий интерфейс для нескольких SSPS, включая Schannel SSP.

Комплект шифров представляет собой набор криптографических алгоритмов. Реализация Schannel SSP протоколов TLS/SSL использует алгоритмы из набора шифров для создания ключей и шифрования информации. Комплект шифров указывает один алгоритм для каждой из следующих задач:

• обмена ключами;
• массового шифрования;
• проверки подлинности сообщений.

AD FS использует Schannel.dll для обеспечения безопасного взаимодействия с данными. В настоящее время AD FS поддерживает все протоколы и наборы шифров, поддерживаемые Schannel.dll.

Управление протоколами TLS/SSL и наборами шифров

В этом разделе содержатся инструкции по изменению реестра. Однако при неправильном изменении реестра могут возникнуть серьезные проблемы. Поэтому убедитесь, что вы внимательно выполните следующие действия.

Помните, что изменение параметров безопасности по умолчанию для SCHANNEL может нарушить или предотвратить обмен данными между определенными клиентами и серверами. Это происходит, если требуется безопасное взаимодействие, и у них нет протокола для согласования связи с.

Если эти изменения применяются, их необходимо применить ко всем серверам AD FS в ферме. После применения этих изменений требуется перезагрузка.

В настоящее время и возраст, ужесточение серверов и удаление старых или слабых наборов шифров становится основным приоритетом для многих организаций. Пакеты программного обеспечения доступны для тестирования серверов и содержат подробные сведения об этих протоколах и наборах. Чтобы оставаться совместимым или достичь безопасных рейтингов, удаление или отключение слабых протоколов или наборов шифров стало обязательным. Оставшаяся часть этого документа содержит рекомендации по включению или отключению определенных протоколов и наборов шифров.

Следующие разделы реестра находятся в том же расположении: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols. Используйте редактор реестра или PowerShell, чтобы включить или отключить эти протоколы и наборы шифров.

Включение и отключение SSL 3.0

Используйте следующие разделы реестра и их значения, чтобы включить и отключить SSL 3.0.

Включение SSL 3.0

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server	DisabledByDefault	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client	DisabledByDefault	00000000

Отключение SSL 3.0

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server	DisabledByDefault	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client	DisabledByDefault	00000001

Отключение SSL 3.0 с помощью PowerShell

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null Write-Host 'SSL 3.0 has been disabled.' 

Включение и отключение TLS 1.0

Используйте следующие разделы реестра и их значения, чтобы включить и отключить TLS 1.0.

Отключение TLS 1.0 нарушает доверие WAP к AD FS. Если отключить TLS 1.0, необходимо включить надежную проверку подлинности для приложений. Дополнительные сведения см. в разделе «Включение строгой проверки подлинности для приложений .NET»

Включение TLS 1.0

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server	DisabledByDefault	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client	DisabledByDefault	00000000

отключение TLS 1.0;

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server	Enabled»=0000000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server	DisabledByDefault	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client	DisabledByDefault	00000001

Отключение TLS 1.0 с помощью PowerShell

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null Write-Host 'TLS 1.0 has been disabled.' 

Включение и отключение TLS 1.1

Используйте следующие разделы реестра и их значения, чтобы включить и отключить TLS 1.1.

Включение протокола TLS 1.1

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server	DisabledByDefault	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client	Включен	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client	DisabledByDefault	00000000

Отключение TLS 1.1

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server	DisabledByDefault	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client	DisabledByDefault	00000001

Отключение TLS 1.1 с помощью PowerShell

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null Write-Host 'TLS 1.1 has been disabled.' 

Отключение протокола TLS 1.2

ПРОТОКОЛ TLS 1.2 включен по умолчанию, начиная с Windows Server 2012. Для отключения TLS 1.2 можно использовать следующие разделы реестра и их значения.

Не рекомендуется отключить TLS 1.2.

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server	DisabledByDefault	00000001
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client	Включен	00000000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client	DisabledByDefault	00000001

Отключение TLS 1.2 с помощью PowerShell

New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null New-Item 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'Enabled' -value '0' -PropertyType 'DWord' -Force | Out-Null New-ItemProperty -path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -name 'DisabledByDefault' -value 1 -PropertyType 'DWord' -Force | Out-Null Write-Host 'TLS 1.2 has been disabled.' 

Включение или отключение хэшей, шифров и наборов шифров

Управление шифрами, хэшами и алгоритмами обмена ключами, кроме размера ключа, через реестр не поддерживается. Хэши, шифры и алгоритмы обмена ключами управляются с помощью PowerShell, MDM или Cipher Suite Ordering.

Полный список поддерживаемых наборов шифров см. в разделе «Наборы шифров» в tls/SSL (Schannel SSP). Эта статья содержит таблицу наборов, включенных по умолчанию, и показывает, какие наборы поддерживаются, но не включены по умолчанию. Чтобы определить приоритеты наборов шифров, см. раздел «Приоритет schannel Cipher Suite».

Включение строгой проверки подлинности для приложений .NET

Приложения платформа .NET Framework 3.5/4.0/4.5.x могут переключить протокол по умолчанию на TLS 1.2, включив раздел реестра SchUseStrongCrypto. Эти разделы реестра позволяют приложениям .NET использовать TLS 1.2.

Для AD FS в Windows Server 2016 и Windows Server 2012 R2 необходимо использовать ключ платформа .NET Framework 4.0/4.5.x: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\. NETFramework\v4.0.30319

Для платформа .NET Framework 3.5 используйте следующий раздел реестра:

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\. NETFramework\v2.0.50727	SchUseStrongCrypto	00000001

Для платформа .NET Framework 4.0/4.5.x используйте следующий раздел реестра:

Путь	Имя значения	Данные значения
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\. NETFramework\v4.0.30319	SchUseStrongCrypto	00000001

New-ItemProperty -path 'HKLM:\SOFTWARE\Microsoft\.NetFramework\v4.0.30319' -name 'SchUseStrongCrypto' -value '1' -PropertyType 'DWord' -Force | Out-Null 

Дополнительные сведения

• Комплекты шифров в TLS/SSL (Schannel SSP)
• Приоритет schannel Cipher Suite
• Речь в шифрах и других загадочных языках