मैं इसे अभी कुछ दिनों के लिए देख रहा हूं क्योंकि हमें PCI-DSS 3.1 का अनुपालन करना है जिसके लिए TLS 1.0 को निष्क्रिय करना आवश्यक है।
हम आरडीपी सिक्योरिटी लेयर से भी पीछे नहीं हटना चाहते हैं, जो एक प्रमुख सुरक्षा चिंता है।
मैं आखिरकार कुछ दस्तावेज खोजने में कामयाब रहा जो पुष्टि करता है कि टीएलएस 1.1 और टीएलएस 1.2 आरडीपी द्वारा समर्थित हैं। यह दस्तावेज़ एक SChannel लॉगिंग और RDP के लिए एक बहुत विस्तृत विनिर्देश में छिपा हुआ है ।
टेक्नेट या अन्य Microsoft साइटों पर मुख्य धारा के प्रलेखन का पूर्ण अभाव है, ऐसा लगता है कि यहाँ उम्मीद है कि यह कुछ लोगों को मदद कर सकता है।
प्रदान किए गए लिंक से प्रासंगिक अर्क:
MSDN लिंक से:
"RDP supports four External Security Protocols: TLS 1.0 ([RFC2246]) TLS 1.1 ([RFC4346])<39>, TLS 1.2 ([RFC5246])<40>"
RDP विनिर्देशन PDF से:
"When Enhanced RDP Security is used, RDP traffic is no longer protected by using the techniques
described in section 5.3. Instead, all security operations (such as encryption and decryption, data
integrity checks, and Server Authentication) are implemented by one of the following External
Security Protocols:
TLS 1.0 (see [RFC2246])
TLS 1.1 (see [RFC4346])
TLS 1.2 (see [RFC5246])
CredSSP (see [MS-CSSP])"
"<39> Section 5.4.5: TLS 1.1 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista and Windows Server 2008.
<40> Section 5.4.5: TLS 1.2 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista, and Windows Server 2008"
इसलिए एक यह निष्कर्ष निकालता है कि आप इस दस्तावेज के अनुसार विंडोज सर्वर 2008 आर 2 पर टीएलएस 1.1 या 1.2 का उपयोग कर सकते हैं।
हालाँकि हमारे परीक्षण ने साबित किया है कि यह टीएसएस 1.0 अक्षम है और आरएलडी सुरक्षा विकल्प टीएलएस 1.0 की आवश्यकता के लिए सेट होने पर विंडोज 7 आरडीपी क्लाइंट (संस्करण 6.3.9600) से काम नहीं करता है।
यह निश्चित रूप से टीएलएस 1.1 और 1.2 को सक्षम करने के साथ-साथ 2008R2 पर डिफ़ॉल्ट रूप से बंद है - संयोग से हम Nartac सॉफ्टवेयर से बहुत उपयोगी IIS क्रिप्टो टूल का उपयोग कर रहे हैं ।
जब इस मुद्दे को देख रहे हैं तो यह उपयोगी है कि जब आपका सत्र खोला जाए तो अधिक विवरण देखने के लिए SChannel लॉगिंग को सक्षम करें।
आप HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ EventLogging कुंजी को 5 में बदलकर और रीबूट करके SChannel लॉगिंग सेट कर सकते हैं ।
एक बार यह हो जाने के बाद आप SChannel घटनाओं का निरीक्षण कर सकते हैं जो RDP कनेक्शन किए जाने पर TLS संस्करण का उपयोग किया जा रहा है। एक बार लॉगिंग सक्षम हो जाने पर, आप SChannel त्रुटि का अवलोकन कर सकते हैं जब RDP क्लाइंट टीएल 1.0 अक्षम के साथ विंडोज 2008 R2 पर एक कनेक्शन स्थापित करने का प्रयास करता है:
A fatal error occurred while creating an SSL server credential. The internal error state is 10013.
मैंने विंडोज सर्वर 2012 और 2012 R2 पर टीएलएस 1.0 को अक्षम करने का भी परीक्षण किया है जो मैं विंडोज 7 आरडीपी क्लाइंट का उपयोग करके पूरी तरह से काम की पुष्टि कर सकता हूं। SChannel लॉग प्रविष्टि टीएलएस 1.2 का उपयोग किया जा रहा है:
An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.
Protocol: TLS 1.2
CipherSuite: 0xC028
Exchange strength: 256
मुझे आशा है कि यह किसी ऐसे व्यक्ति की मदद करता है जो इस पर स्पष्टीकरण की तलाश कर रहा है।
मैं Windows Server 2008 R2 में आरएलडी को टीएलएस 1.1 और टीएलएस 1.2 पर काम करने के तरीके के बारे में जानना जारी रखूंगा।
अद्यतन: 2015-AUG-05
हमने Microsoft समर्थन के साथ सर्वर 2008 R2 के साथ काम नहीं करने के लिए आरडीपी के मुद्दे को उठाया जिसमें पुन: पेश करने के चरण शामिल हैं।
कई हफ्तों के पीछे और आगे की ओर जाने के बाद, हमें आखिरकार सपोर्ट टीम से एक फोन कॉल मिला जिसे स्वीकार करने के लिए कि वे वास्तव में इसे पुन: पेश कर सकते हैं और इसे अब बग के रूप में वर्गीकृत किया गया है। एक अद्यतन पैच जारी किया जाएगा, फिलहाल यह अक्टूबर 2015 में अपेक्षित है। जैसे ही मेरे पास एक KB आलेख या अन्य विवरण होगा मैं उन्हें इस पद पर जोड़ दूंगा।
उम्मीद है कि विंडोज सर्वर 2008 आर 2 के साथ अटके हुए लोग पैच जारी होने के बाद कम से कम जून 2016 की समयसीमा से पहले इसे हल कर सकते हैं।
अद्यतन: 19 सितंबर 2015
Microsoft ने अंततः इस बारे में एक kb समर्थन लेख जारी किया है और मैं पुष्टि कर सकता हूं कि यह ठीक काम करता है।