क्या कोई कारण है कि टीएलएस 1.1 और 1.2 विंडोज सर्वर 2008 आर 2 पर अक्षम हैं?

Question

Windows Server 2008 R2 TLS 1.1 और 1.2 का समर्थन करता है, लेकिन वे डिफ़ॉल्ट रूप से अक्षम हैं।

वे डिफ़ॉल्ट रूप से अक्षम क्यों हैं?

क्या उनके पास कोई कमियां हैं?

Answer 1

सर्वर 2008 R2 / विंडोज 7 ने विंडोज के लिए टीएलएस 1.1 और टीएलएस 1.2 समर्थन पेश किया, और टीएलएस 1.0 को कमजोर करने वाले हमलों से पहले जारी किया गया था, इसलिए यह शायद टीएलएस 1.0 का डिफ़ॉल्ट होने की बात है क्योंकि यह टीएलएस संस्करण का सबसे व्यापक रूप से इस्तेमाल किया गया था। सर्वर 2008 R2 पर जारी किया गया था (जुलाई, 2009)।

सुनिश्चित नहीं है कि आप सुनिश्चित रूप से कैसे जानेंगे, या यह पता लगा सकते हैं कि "क्यों" एक डिजाइन निर्णय किया गया था, लेकिन यह देखते हुए कि विंडोज 7 और सर्वर 2008 आर 2 ने विंडोज परिवार को फीचर पेश किया, और विंडोज सर्वर 2012 डिफ़ॉल्ट रूप से टीएलएस 1.2 का उपयोग करता है, यह लगता है कि यह उस समय "जिस तरह से किया गया था" का मामला था। टीएलएस 1.0 अभी भी "काफी अच्छा" था, इसलिए यह डिफ़ॉल्ट था, लेकिन टीएलएस 1.1 और 1.2 को फॉरवर्ड-सपोर्ट और फॉर-ऑपरेटिबिलिटी के लिए सपोर्ट किया गया था।

Microsoft कर्मचारी का यह तकनीकी ब्लॉग TLS के नए संस्करणों को सक्षम करने की अनुशंसा करता है और यह भी नोट करता है कि (अक्टूबर 2011 तक):

वेब सर्वरों के बीच, IIS 7.5 एकमात्र है जो TLS 1.1 और TLS 1.2 का समर्थन करता है। अब अपाचे इन प्रोटोकॉल का समर्थन नहीं करता है क्योंकि OPENSSL उनके लिए समर्थन शामिल नहीं करता है। उम्मीद है, वे उद्योगों के लिए नए मानकों को पकड़ लेंगे।

यह आगे इस विचार का समर्थन करता है कि नए टीएलएस संस्करण सर्वर 2008 R2 में डिफ़ॉल्ट रूप से उस सरल कारण के लिए सक्षम नहीं थे जो वे नए थे और उस समय व्यापक रूप से समर्थित या उपयोग नहीं किए गए थे - अपाचे और ओपनएसएसएल ने अभी तक उनका समर्थन नहीं किया, अकेले चलो उन्हें डिफ़ॉल्ट के रूप में उपयोग करें।

विभिन्न SSL / TLS संस्करणों को सक्षम और अक्षम करने के बारे में ठीक-ठीक विवरण Microsoft KB आलेख संख्या 245030How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll में पाया जा सकता है , जिसका शीर्षक है । जाहिर है, Clientचाबियाँ इंटरनेट एक्सप्लोरर को नियंत्रित करती हैं, और Serverचाबियाँ आईआईएस को कवर करती हैं।

Answer 2

मैं खुद यह सोच रहा था ... शायद उस समय ज्ञात संगतता मुद्दों के कारण ... मुझे यह एमएसडीएन ब्लॉग प्रविष्टि (24-मार्च -2011 से) मिला:

http://blogs.msdn.com/b/ieinternals/archive/2011/03/25/misbehaving-https-servers-impair-tls-1.1-and-tls-1.2.aspx

यह कुछ वेब सर्वर "दुर्व्यवहार" के बारे में बात करता है जिस तरह से वे असमर्थित प्रोटोकॉल अनुरोधों का जवाब देते हैं, जिसके कारण ग्राहक को एक समर्थित प्रोटोकॉल में वापसी नहीं होती है, जिसके परिणामस्वरूप परिणाम वेबसाइट (एस) तक पहुंचने में सक्षम नहीं होते हैं।

यहाँ उस ब्लॉग प्रविष्टि का भाग उद्धृत करते हुए:

सर्वर को इस तरह से व्यवहार करने की आवश्यकता नहीं है - इसके बजाय यह उम्मीद करता है कि वह नवीनतम HTTPS प्रोटोकॉल संस्करण का समर्थन करता है, जो इसका समर्थन करता है (उदाहरण के लिए "3.1" उर्फ ​​टीएलएस 1.0) का जवाब। अब, सर्वर ने इस बिंदु पर कनेक्शन को इनायत से बंद कर दिया था, यह। ठीक हो - WinINET में कोड, केवल TLS 1.0 की पेशकश करने वाले कनेक्शन को वापस करेगा और फिर से लौटाएगा। WinINET में ऐसा कोड शामिल है, जिसमें TLS1.1 और 1.2 से लेकर TLS1.0 तक, उसके बाद SSL3 (यदि सक्षम) तो SSL2 (यदि सक्षम है) में वापसी हो सकती है। फॉलबैक में नीचे की ओर प्रदर्शन होता है- नए निचले संस्करण वाले हैंडशेक के लिए आवश्यक अतिरिक्त राउंडट्रिप्स का परिणाम आमतौर पर दसियों या सैकड़ों मिलीसेकंड के बराबर होता है।

हालाँकि, इस सर्वर ने कनेक्शन को निरस्त करने के लिए एक टीसीपी / आईपी आरएसटी का उपयोग किया, जो कि विनीत में फालबैक कोड को निष्क्रिय कर देता है और पूरे कनेक्शन अनुक्रम को छोड़ दिया जाता है, जिससे उपयोगकर्ता "इंटरनेट एक्सप्लोरर वेबपेज को प्रदर्शित नहीं कर सकता" त्रुटि संदेश।