Transport Layer Security in Azure Backup

Artikel
09/11/2024

Transport Layer Security (TLS) ist ein Verschlüsselungsprotokoll, mit dem Daten bei der Übertragung über ein Netzwerk geschützt werden. Azure Backup verwendet TLS, um den Datenschutz der Sicherungsdaten bei der Übertragung zu gewährleisten. In diesem Artikel werden die Schritte zum Aktivieren des TLS 1.2-Protokolls beschrieben, das gegenüber früheren Versionen eine höhere Sicherheit bietet.

Frühere Windows-Versionen

Wenn auf dem Computer frühere Versionen von Windows ausgeführt werden, müssen die unten aufgeführten Updates installiert und die in den KB-Artikeln dokumentierten Registrierungsänderungen angewandt werden.

Betriebssystem	KB-Artikel
Windows Server 2008 SP2	https://support.microsoft.com/help/4019276
Windows Server 2008 R2, Windows 7, Windows Server 2012	https://support.microsoft.com/help/3140245

Hinweis

Mit dem Update werden die erforderlichen Protokollkomponenten installiert. Nach der Installation müssen Sie die in den KB-Artikeln oben erwähnten Änderungen an den Registrierungsschlüsseln vornehmen, um die erforderlichen Protokolle ordnungsgemäß zu aktivieren.

Überprüfen der Windows-Registrierung

Konfigurieren von SChannel-Protokollen

Die folgenden Registrierungsschlüssel stellen sicher, dass das TLS 1.2-Protokoll auf der Ebene der SChannel-Komponente aktiviert ist:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "DisabledByDefault"=dword:00000000

Hinweis

Die gezeigten Werte werden in Windows Server 2012 R2 und neueren Versionen standardmäßig festgelegt. Wenn die Registrierungsschlüssel nicht vorhanden sind, müssen sie für diese Versionen von Windows nicht erstellt werden.

Konfigurieren von .NET Framework

Mit den folgenden Registrierungsschlüsseln wird .NET Framework für die Unterstützung starker Kryptografie konfiguriert. Weitere Informationen zum Konfigurieren von .NET Framework finden Sie hier.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

TLS-Zertifikatänderungen für Azure

TLS/SSL-Azure-Endpunkte enthalten jetzt aktualisierte Zertifikate, die mit den neuen Stammzertifizierungsstellen verkettet sind. Stellen Sie sicher, dass die folgenden Änderungen die aktualisierten Stammzertifizierungsstellen enthalten. Weitere Informationen über die möglichen Auswirkungen auf Ihre Anwendungen.

Früher waren die meisten der von Azure-Diensten verwendeten TLS-Zertifikate mit der folgenden Stammzertifizierungsstelle verkettet:

Allgemeiner Name der Zertifizierungsstelle	Fingerabdruck (SHA-1)
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474

Heutzutage helfen TLS-Zertifikate, die von Azure-Diensten verwendet werden, bei der Verkettung mit einer der folgenden Stammzertifizierungsstellen:

Allgemeiner Name der Zertifizierungsstelle	Fingerabdruck (SHA-1)
DigiCert Global Root G2	df3c24f9bfd666761b268073fe06d1cc8d4f82a4
DgiCert Global Root CA	a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474
D-TRUST Root Class 3 CA 2 2009	58e8abb0361533fb80f79b1b6d29d3ff8d5f00f0
Microsoft RSA Root Certificate Authority 2017	73a5e64a3bff8316ff0edccc618a906e4eae4d74
Microsoft ECC Root Certificate Authority 2017	999a64c37ff47d9fab95f14769891460eec4c3c5

Häufig gestellte Fragen

Warum muss TLS 1.2 aktiviert werden?

TLS 1.2 ist sicherer als ältere Kryptografieprotokolle wie SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1. Azure Backup-Dienste unterstützen TLS 1.2 bereits vollständig.

Wodurch wird das verwendete Verschlüsselungsprotokoll festgelegt?

Beim Einrichten der verschlüsselten Konversation wird die höchste Protokollversion ausgehandelt, die sowohl vom Client als auch vom Server unterstützt wird. Weitere Informationen zum TLS-Handshakeprotokoll finden Sie unter Einrichten einer sicheren Sitzung mithilfe von TLS.

Welche Auswirkungen hat es, wenn TLS 1.2 nicht aktiviert wird?

Um den Schutz vor Angriffen durch Protokolldowngrades zu verbessern, beginnt Azure Backup damit, TLS-Versionen vor 1.2 stufenweise zu deaktivieren. Dies ist Teil einer langfristigen Umstellung aller Dienste, um Verbindungen mit älteren Protokollen und Verschlüsselungssammlungen zu unterbinden. Azure Backup-Dienste und -Komponenten unterstützen TLS 1.2 vollständig. Windows-Versionen, auf denen die erforderlichen Updates oder bestimmte angepasste Konfigurationen fehlen, können jedoch dennoch verhindern, dass TLS 1.2-Protokolle bereitgestellt werden. Dies kann unter anderem zu folgenden Fehlern führen:

Fehler bei Sicherungs- und Wiederherstellungsvorgängen
Verbindungsfehler 10054 bei Sicherungskomponenten. (Eine vorhandene Verbindung wurde erzwungenermaßen vom Remotehost geschlossen.)
Ungewöhnliche Starts oder Beendigungen von Diensten im Zusammenhang mit Azure Backup

Freigeben über