Comment augmenter le délai d'expiration du handshake TLS 1.3?

Question

Bonjour à tous, on a déployé SMB over QUIC pour nos utilisateurs nomades, mais ceux qui se connectent en 4G/5G avec une forte latence se font déconnecter en boucle. En analysant les captures de paquets avec Wireshark, j'ai remarqué que le handshake TLS 1.3 tombe en timeout pile au moment de la validation des suites de chiffrement.

Est-ce qu'il existe une clé de registre ou une commande spécifique pour augmenter ce seuil de timeout du handshake côté client ou serveur afin de stabiliser les connexions cellulaires ?

Answer 1

Bonjour,

dans le cas de SMB over QUIC, le timeout que vous observez n’est pas configurable via une clé de registre simple côté client ou serveur. Le handshake TLS 1.3 est géré par la pile SCHANNEL de Windows, et les délais de négociation sont fixés au niveau du protocole. Microsoft ne fournit pas de paramètre documenté pour “augmenter” le seuil de timeout du handshake, car cela compromettrait la sécurité et la conformité TLS.

Ce que vous pouvez faire de manière supportée, c’est travailler sur la couche QUIC elle‑même. Le service SMB over QUIC expose des paramètres via PowerShell (Set-SmbServerConfiguration -EnableSMBQUIC $true) mais pas de timeout TLS. En revanche, vous pouvez ajuster la gestion des connexions QUIC en activant ou désactivant 0‑RTT et en vérifiant que les certificats utilisés sont optimisés (certificat valide, EKU Server Authentication, SAN correct). Les déconnexions en boucle sur réseaux cellulaires proviennent souvent de la latence qui fait échouer la validation des suites de chiffrement, mais la solution n’est pas d’allonger le timeout, c’est de réduire la complexité de la négociation.

Concrètement, vous pouvez limiter les suites de chiffrement supportées par SCHANNEL pour éviter des négociations longues. Cela se fait via la clé de registre HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CipherSuites ou via la stratégie de groupe “SSL Cipher Suite Order”. En définissant un ordre restreint et moderne (TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384), vous réduisez le temps de handshake et minimisez les risques de timeout sur réseaux à forte latence.

En résumé, il n’existe pas de clé officielle pour augmenter le timeout TLS 1.3 dans SMB over QUIC. La méthode supportée est de réduire la durée de négociation en limitant les suites de chiffrement et en s’assurant que le certificat est parfaitement conforme. Si le problème persiste, la recommandation est de mettre en place un proxy QUIC/TLS optimisé ou d’utiliser une connexion VPN stable pour les utilisateurs mobiles, car la pile SMB over QUIC n’est pas conçue pour tolérer des délais de handshake prolongés.

Domic Vo.