☰

Отсутствующие наборы шифров в Windows Server 2019

tag-icon • tag-icon ssl windows-server-2019 cipher
Отсутствующие наборы шифров в Windows Server 2019

Я использую последовательность задач MEMCM для сборки серверов под управлением Windows Server 2019. На данный момент я собрал 22 сервера с этой ОС. В конце OSD на 20 из них у меня есть только 10 наборов шифров, доступных для использования.

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA

На двух серверах с большим количеством наборов шифров мне доступны 31 следующий набор шифров.

TLS_AES_256_GCM_SHA384
TLS_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_NULL_SHA
TLS_PSK_WITH_AES_256_GCM_SHA384
TLS_PSK_WITH_AES_128_GCM_SHA256
TLS_PSK_WITH_AES_256_CBC_SHA384
TLS_PSK_WITH_AES_128_CBC_SHA256
TLS_PSK_WITH_NULL_SHA384
TLS_PSK_WITH_NULL_SHA256

На серверах с ограниченным набором наборов шифров я добавил необходимые ключи реестра для включения TLS 1.2 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2и выполнил перезагрузку, но больше ничего нет. А на серверах с 31 набором шифров я не знаю, что было изменено, поэтому они доступны. Я также пытался использовать, но Enable-TlsCipherSuite -Name XXXбезуспешно. Наконец, серверы обновлены обновлениями за август 2020 года.

Есть идеи, почему отсутствуют шифры и как их добавить?

решение1

TLS 1.2 включен по умолчанию.

Ключ реестра для шифров:

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers

https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/demystifying-schannel/ba-p/259233

решение2

Глупая причина. Был старый GPO, который ограничивал список шифров этими 10 шифрами. rsopничего не показывало, но gpresult /hпоказывало то, что мне было нужно. :)

решение3

Вы можете просто использовать IIS Crypto. Используйте этот инструмент для включения, отключения наборов шифров и изменения их порядка.https://www.nartac.com/Products/IISCrypto/Загрузить

Связанный контент