Windows Server 2012 R2 真的只支援一種伺服器簽章演算法嗎？

Question

我既不是 Windows 專家，也不是資安專家。最近我繼承了一些我必須管理的 Windows Server 2012 R2 主機。原因解釋於這另一篇文章我意識到（使用SSL掃描使用--show-sigs針對 winrm 連接埠 5986 的選項）所有這些主機僅支援一種伺服器簽署演算法，即rsa_pkcs1-sha1（請參閱下面的螢幕截圖）。

• 這是 Windows Server 2012 R2 中唯一支援的伺服器簽章演算法嗎？
• 是否可以向列表中添加更多演算法？如果是，怎麼辦？

Answer 1

我不認為這與 Windows 作業系統版本有任何關係。您正在掃描的伺服器上的 WinRM 設定為使用特定的 HTTPS 憑證。配置的憑證是使用 SHA-1 演算法建立的。因此，您需要做的是獲取新證書，然後配置 WinRM 來使用它。

可能值得檢查伺服器上是否已安裝合適的證書，因此您甚至可能不需要要求新的證書。

另一件需要考慮的事情是，類似的更改可能會破壞一些舊的腳本或應用程序，這些腳本或應用程式由於某種原因不會接受新的證書。因此，適當的測試和回滾計劃是有序的。

• 若要檢查目前的 WinRM 配置，請winrm enumerate winrm/config/listener在伺服器上執行

• 若要檢查已安裝的證書，請使用MMC.EXE 並新增憑證管理單元

• 有關逐步操作，請查看https://learn.microsoft.com/en-us/troubleshoot/windows-client/system-management-components/configure-winrm-for-https本文適用於 Windows 10，因此某些指令可能有所不同，但概念是相同的