Megjegyzés
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhat bejelentkezni vagy módosítani a címtárat.
Az oldalhoz való hozzáféréshez engedély szükséges. Megpróbálhatja módosítani a címtárat.
Ez a cikk a Transport Layer Security (TLS) protokoll és a Secure Sockets Layer (SSL) protokoll Windows-implementációjának támogatott beállításjegyzék-beállításadatait ismerteti a Schannel biztonsági támogatási szolgáltatón (SSP) keresztül. A jelen cikkben szereplő beállításjegyzék-alkulcsok és bejegyzések segítenek az Schannel SSP, különösen a TLS és AZ SSL protokollok felügyeletében és hibaelhárításában.
Figyelmeztetés
Ezek az információk hivatkozásként szolgálnak a szükséges beállítások hibaelhárítása vagy ellenőrzése során. Javasoljuk, hogy csak akkor szerkessze közvetlenül a beállításjegyzéket, ha nincs más alternatíva. A beállításjegyzék módosításait nem érvényesíti a beállításszerkesztő vagy a Windows operációs rendszer az alkalmazás előtt. Ennek eredményeképpen a helytelen értékek tárolhatók, és ez helyreállíthatatlan hibákat eredményezhet a rendszerben. Ha lehetséges, a beállításjegyzék közvetlen szerkesztése helyett használja a csoportházirendet vagy más Windows-eszközöket, például a Microsoft Felügyeleti konzolt (MMC). Ha szerkesztenie kell a beállításjegyzéket, körültekintően járjon el.
Schannel-naplózás
A rendszer eseménynaplójába mentett Schannel-eseményekhez nyolc naplózási szint van mentve, és az Eseménynapló használatával tekinthető meg. Ez a beállításjegyzék-elérési út az HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL kulcs alatt van tárolva, és a DWORD értéke 1.
| Decimális vagy hexa | Schannel-naplózási események |
|---|---|
| 0 | Nincsenek események |
| 1 | Hibaesemények |
| 2 | Figyelmeztető események |
| 3 | Hiba- és figyelmeztetési események |
| 4 | Információs és siker események |
| 5 | Hibaesemények, információs események és sikertörténetek |
| 6 | Figyelmeztetési, tájékoztató és sikeres események |
| 7 | Hibaesemények, figyelmeztetések, tájékoztató és sikeres események |
Megjegyzés:
A naplózási szint módosítása után újra kell indítania az eszközt.
Tanúsítványtérképezési módszerek
Ha egy kiszolgálóalkalmazás ügyfél-hitelesítést igényel, a Schannel automatikusan megpróbálja leképezni az ügyfélszámítógép által biztosított tanúsítványt egy felhasználói fiókra. Az ügyféltanúsítvánnyal bejelentkező felhasználókat leképezések létrehozásával hitelesítheti, amelyek a tanúsítványadatokat egy Windows-felhasználói fiókhoz kapcsolják.
A tanúsítványleképezés létrehozása és engedélyezése után minden alkalommal, amikor egy ügyfél ügyféltanúsítványt mutat be, a kiszolgálóalkalmazás automatikusan társítja a felhasználót a megfelelő Windows-felhasználói fiókkal.
A legtöbb esetben a rendszer a tanúsítványokat a következő két módon rendeli hozzá egy felhasználói fiókhoz:
- Egyetlen tanúsítvány egyetlen felhasználói fiókra van leképezve (egy-az-egyhez megfeleltetés).
- Több tanúsítvány van leképezve egy felhasználói fiókra (több az egyhez leképezés).
A Schannel-szolgáltató négy tanúsítványleképezési módszert használ:
- Kerberos service-for-user (S4U) leképezés (alapértelmezés szerint engedélyezve)
- Felhasználói főnév leképezése
- Egy-az-egyhez leképezés (más néven subjektum/kiállító leképezés)
- Több az egyhez leképezés
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
| Bejegyzés neve | DWORD | Alapértelmezés szerint engedélyezve |
|---|---|---|
| Tulajdonos/kiállító | 0x000000001 | Nem |
| Kibocsátó | 0x000000002 | Nem |
| UPN | 0x000000004 | Nem |
| S4U2Self | 0x000000008 | Igen |
| S4U2Önexplicit | 0x000000010 | Igen |
Rejtjelek
A TLS/SSL-titkosításokat a titkosítási csomag sorrendjének konfigurálásával kell szabályozni. További részletekért lásd a TLS titkosítási csomag rendelésének konfigurálását ismertető cikket.
A Schannel SSP által használt alapértelmezett titkosítási csomagrendelésekről további információt a TLS/SSL titkosítási csomagokkal (Schannel SSP) kapcsolatos cikkben talál.
Rejtjel Suites
A TLS-/SSL-titkosítási csomagok konfigurálását csoportházirend, MDM vagy PowerShell használatával kell elvégezni. Részletekért lásd a TLS titkosítási csomag rendelésének konfigurálását ismertető cikket.
A Schannel SSP által használt alapértelmezett titkosítási csomagrendelésekről további információt a TLS/SSL titkosítási csomagokkal (Schannel SSP) kapcsolatos cikkben talál.
ClientCacheTime
Ez a bejegyzés ezredmásodpercben határozza meg az ügyfél TLS-munkamenetgyorsítótár-elemének élettartamát. A Windows Server 2008-tól és a Windows Vista-tól kezdve az alapértelmezett érték 10 óra. A 0 érték kikapcsolja a TLS-munkamenet gyorsítótárazását az ügyfélen.
Amikor az ügyfél első alkalommal csatlakozik egy kiszolgálóhoz a Schannel SSP-n keresztül, teljes TLS/SSL kézfogást hajt végre. Ha elkészült, a főtitkot, a titkosítási csomagot és a tanúsítványokat a rendszer a megfelelő ügyfél és kiszolgáló munkamenet-gyorsítótárában tárolja.
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
EnableOcspStaplingForSni
Az online tanúsítványállapot-protokoll (OCSP) stapling lehetővé teszi, hogy egy webkiszolgáló, például az Internet Information Services (IIS) megadja a kiszolgálótanúsítvány aktuális visszavonási állapotát, amikor a kiszolgálótanúsítványt elküldi egy ügyfélnek a TLS-kézfogás során. Ez a funkció csökkenti az OCSP-kiszolgálók terhelését, mivel a webkiszolgáló gyorsítótárazhatja a kiszolgálótanúsítvány aktuális OCSP-állapotát, és elküldheti azt több webügyfelnek. E funkció nélkül minden webügyfél megpróbálná lekérni a kiszolgálótanúsítvány aktuális OCSP-állapotát az OCSP-kiszolgálóról. Ez nagy terhelést okozna az OCSP-kiszolgálón.
Az IIS mellett a webes szolgáltatások a http.sys felett is profitálhatnak ebből a beállításból, beleértve az Active Directory Föderációs Szolgáltatásokat (AD FS) és a Webalkalmazás Proxyt (WAP).
Alapértelmezés szerint az OCSP-támogatás engedélyezve van az egyszerű biztonságos (SSL/TLS) kötéssel rendelkező IIS-webhelyeken. Ez a támogatás azonban alapértelmezés szerint nem engedélyezett, ha az IIS-webhely az alábbi SSL-/TLS-kötések egyikét vagy mindkettőt használja:
- Kiszolgálónév jelzésének megkövetelése
- Központosított tanúsítványtároló használata
Ebben az esetben a kiszolgáló üdvözlő válasza a TLS-kézfogás során alapértelmezés szerint nem tartalmaz OCSP csatolt állapotot. Ez a viselkedés javítja a teljesítményt: A Windows OCSP stapling implementációja több száz kiszolgálótanúsítványra skálázható. A kiszolgálónév-jelzés (SNI) és a központi tanúsítványtároló (CCS) lehetővé teszi azonban, hogy az IIS több ezer olyan webhelyre méretezhető legyen, amelyek több ezer kiszolgálótanúsítvánnyal rendelkeznek, ezért a CCS-kötések OCSP-hez való csatlakoztatásának engedélyezése teljesítményproblémákat okozhat.
Beállításjegyzék elérési útja: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
Adja hozzá a következő kulcsot:
"EnableOcspStaplingForSni"=dword:00000001
A letiltáshoz állítsa a DWORD értékét 0-ra:
"EnableOcspStaplingForSni"=dword:00000000
Megjegyzés:
A beállításkulcs engedélyezése potenciális hatást gyakorolhat a teljesítményre.
Hashok
A TLS/SSL kivonatoló algoritmusokat a titkosítási csomag sorrendjének konfigurálásával kell szabályozni. Részletekért tekintse meg a TLS titkosítási csomag rendelésének konfigurálását ismertető cikket.
IssuerCacheSize
Ez a bejegyzés szabályozza a kiállítói gyorsítótár méretét, és a kiállítói leképezéshez használja. A Schannel SSP az ügyfél tanúsítványlánca összes kibocsátójának leképezésére törekszik, nem csak az ügyféltanúsítvány közvetlen kibocsátójára. Ha a kibocsátók nincsenek leképezve egy fiókra, ami általában előfordul, előfordulhat, hogy a szerver másodpercenként több százszor próbálja ugyanazt a kibocsátó nevet leképezni.
Ennek megakadályozása érdekében a kiszolgáló negatív gyorsítótárral rendelkezik, így ha egy kiállító neve nem felel meg egy fióknak, a rendszer hozzáadja a gyorsítótárhoz, és a Schannel SSP nem próbálja meg újra leképezni a kiállító nevét, amíg a gyorsítótár-bejegyzés le nem jár. Ez a beállításjegyzék-bejegyzés határozza meg a gyorsítótár méretét. Ez a bejegyzés alapértelmezés szerint nem létezik a beállításjegyzékben. Az alapértelmezett érték 100.
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
IssuerCacheTime
Ez a bejegyzés ezredmásodpercben szabályozza a gyorsítótár időtúllépési időközének hosszát. A Schannel SSP az ügyfél tanúsítványlánca összes kibocsátójának leképezésére törekszik, nem csak az ügyféltanúsítvány közvetlen kibocsátójára. Abban az esetben, ha a kibocsátók nincsenek egy fiókhoz hozzárendelve, ami általában így van, előfordulhat, hogy a szerver megkísérli újra és újra hozzárendelni ugyanannak a kibocsátónak a nevét, másodpercenként több százszor.
Ennek megakadályozása érdekében a kiszolgáló negatív gyorsítótárral rendelkezik, így ha egy kiállító neve nem felel meg egy fióknak, a rendszer hozzáadja a gyorsítótárhoz, és a Schannel SSP nem próbálja meg újra leképezni a kiállító nevét, amíg a gyorsítótár-bejegyzés le nem jár. Ez a gyorsítótár teljesítménybeli okokból van tárolva, így a rendszer nem próbálja továbbra is leképezni ugyanazokat a kiállítókat. Ez a bejegyzés alapértelmezés szerint nem létezik a beállításjegyzékben. Az alapértelmezett érték 10 perc.
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
KeyExchangeAlgorithm kulcsméretek
Előfordulhat, hogy az alábbi bejegyzések alapértelmezés szerint nem léteznek a beállításjegyzékben, és manuálisan kell létrehozni őket. A kulcscsere-algoritmusok használatát a titkosítási csomag sorrendjének konfigurálásával kell szabályozni. A TLS/SSL titkosítási csomag titkosítási algoritmusairól további információt a TLS-ben/SSL-ben (Schannel SSP) található titkosítási csomagokban talál.
Hozzáadva a Windows 10 1507-es és a Windows Server 2016-os verziójához.
Beállításjegyzék elérési útja: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\KeyExchangeAlgorithms\Diffie-Hellman
A TLS-ügyfél minimálisan támogatott Diffie-Hellman kulcsbithosszának megadásához hozzon létre egy ClientMinKeyBitLength bejegyzést. A bejegyzés létrehozása után módosítsa a DWORD értékét a kívánt bithosszra. Ha nincs konfigurálva, a minimum 1024 bit lesz.
Megjegyzés:
A konfigurált háromliptikus görbék határozzák meg az ECDHE kulcscsere titkosítási erősségét. További információ: Transport Layer Security (TLS) kezelése.
Maximális gyorsítótár méret
Ez a bejegyzés szabályozza a gyorsítótárazandó TLS-munkamenetek maximális számát. A MaximumCacheSize 0 beállítás letiltja a kiszolgálóoldali munkamenet-gyorsítótárat a munkamenet újraindításának megakadályozása érdekében. A MaximumCacheSize értékének az alapértelmezett értékek feletti növelése miatt Lsass.exe többletmemóriát használ fel. Minden munkamenet-gyorsítótár elemhez általában 2 KB–4 KB memória szükséges. Ez a bejegyzés alapértelmezés szerint nem létezik a beállításjegyzékben. Az alapértelmezett érték 20 000 elem.
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
Üzenetkezelés – töredék elemzése
Ez a bejegyzés az elfogadott TLS-kézfogási üzenetek maximális megengedett méretét szabályozza. Az engedélyezett méretnél nagyobb üzenetek nem fogadhatók el, és a TLS-kézfogás meghiúsul. Ezek a bejegyzések alapértelmezés szerint nem léteznek a beállításjegyzékben.
Az érték 0x0beállításakor a rendszer nem dolgozza fel a töredezett üzeneteket, és a TLS-kézfogás meghiúsul. Így a TLS-ügyfelek vagy -kiszolgálók az aktuális gépen nem kompatibilisek a TLS RFC-kkel.
A maximális megengedett méret legfeljebb 2^16 bájtra növelhető. Nem jó ötlet, ha egy ügyfél vagy kiszolgáló nagy mennyiségű, nem ellenőrzött adatot olvas be és tárol a hálózatról, és minden biztonsági környezethez extra memóriát használ fel.
Hozzáadva a Windows 7 és a Windows Server 2008 R2 rendszerben: Elérhető egy frissítés, amely lehetővé teszi az Internet Explorer használatát a Windows XP-ben, a Windows Vista-ban vagy a Windows Server 2008-ban a töredezett TLS/SSL kézfogási üzenetek elemzéséhez.
Beállításjegyzék elérési útja: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Messaging
A TLS-ügyfél által elfogadott töredezett TLS-kézfogási üzenetek maximális megengedett méretének megadásához hozzon létre egy bejegyzést MessageLimitClient . A bejegyzés létrehozása után módosítsa a DWORD értékét a kívánt bithosszra. Ha nincs konfigurálva, az alapértelmezett érték 0x8000 bájt.
Ha meg szeretné adni a töredezett TLS-kézfogási üzenetek maximális megengedett méretét, amelyet a TLS-kiszolgáló elfogad, ha nincs ügyfélhitelesítés, hozzon létre egy bejegyzést MessageLimitServer . A bejegyzés létrehozása után módosítsa a DWORD értékét a kívánt bithosszra. Ha nincs konfigurálva, az alapértelmezett érték 0x4000 bájt.
Ha meg szeretné adni a TLS-kiszolgáló által ügyfélhitelesítéskor elfogadott töredezett TLS-kézfogási üzenetek maximális megengedett méretét, hozzon létre egy bejegyzést MessageLimitServerClientAuth . A bejegyzés létrehozása után módosítsa a DWORD értékét a kívánt bithosszra. Ha nincs konfigurálva, az alapértelmezett érték 0x8000 bájt.
Megerősítetthitelesítőlista küldése
A TLS-kiszolgálók elküldhetik az elfogadható hitelesítésszolgáltatók megkülönböztető nevének listáját, amikor ügyfél-hitelesítést kérnek. Ez segíthet a TLS-ügyfeleknek a megfelelő TLS-ügyféltanúsítvány kiválasztásában. A Schannel-alapú TLS-kiszolgálók alapértelmezés szerint nem küldik el ezt a megbízható kiállítói listát, mert a kiszolgáló által megbízhatónak minősített hitelesítésszolgáltatókat passzív megfigyelőknek teszik elérhetővé, és növeli a TLS-kézfogás során kicserélt adatok mennyiségét is. Ha ezt az értéket 1 értékre állítja, a Schannel-alapú kiszolgálók elküldik a megbízható kiállítók listáját.
A megbízható kiállítók listájának nem elküldése hatással lehet arra, hogy az ügyfél mit küld, amikor ügyféltanúsítványt kérnek tőle. Ha például a Microsoft Edge ügyfélhitelesítési kérelmet kap, csak azokat az ügyféltanúsítványokat jeleníti meg, amelyek a kiszolgáló által küldött valamely hitelesítésszolgáltatóhoz tartoznak. Ha a kiszolgáló nem küldött listát, a Microsoft Edge megjeleníti az ügyfélre telepített összes ügyféltanúsítványt.
Ez a viselkedés kívánatos lehet. Ha például a PKI-környezetek kereszttanúsítványokat tartalmaznak, az ügyfél- és kiszolgálótanúsítványok nem rendelkeznek ugyanazzal a legfelső szintű hitelesítésszolgáltatóval. Ezért a Microsoft Edge nem tud olyan tanúsítványt választani, amely a kiszolgáló egyik hitelesítésszolgáltatója felé láncolást használ. A TLS-ügyfelek bármilyen elérhető ügyféltanúsítványt felajánlhatnak, ha egy kiszolgáló nem küldi el a megbízható kiállítók listáját. Ez a bejegyzés alapértelmezés szerint nem létezik a beállításjegyzékben.
Alapértelmezett megbízható kiállítók lista küldési viselkedése
| Windows-verzió | Alapértelmezett viselkedés |
|---|---|
| Windows Server 2012, Windows 8 és újabb verziók | HAMIS |
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
Szerver gyorsítótárazási idő
Ez a bejegyzés ezredmásodpercben határozza meg a kiszolgáló TLS-munkamenetgyorsítótár-elemének élettartamát. Az alapértelmezett érték 10 óra. A 0 érték kikapcsolja a TLS-munkamenet gyorsítótárazását a kiszolgálón, és megakadályozza a munkamenetek újraindítását. A ServerCacheTime alapértelmezett értékek feletti növelésével Lsass.exe további memóriát használ fel. Minden munkamenet-gyorsítótár-elemhez általában 2 KB–4 KB memória szükséges. Ez a bejegyzés alapértelmezés szerint nem létezik a beállításjegyzékben.
Beállításjegyzék elérési útja: HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
Alapértelmezett kiszolgálógyorsítótár-idő: 10 óra
TLS, DTLS és SSL protokoll verzióbeállításai
Az SChannel SSP implementálja a TLS, a DTLS és az SSL protokollok verzióit. A különböző Windows-kiadások különböző protokollverziókat támogatnak. A (D)TLS- és SSL-verziók rendszerszintűen elérhető készletét korlátozhatják (de nem bővíthetik) az SSPI-hívók, amelyek megadják a SCH_CREDENTIALS struktúrát a AcquireCredentialsHandle hívásban. Javasoljuk, hogy az SSPI-hívók a protokollverzió korlátozása helyett a rendszer alapértelmezéseit használják.
A támogatott (D)TLS- vagy SSL-protokollverzió az alábbi állapotok egyikében létezhet:
- Engedélyezve: Ha az SSPI-hívó explicit módon nem tiltja le ezt a protokollverziót SCH_CREDENTIALS struktúrával, a Schannel SSP egyeztetheti ezt a protokollverziót egy támogató társsal.
- Letiltva: A Schannel SSP nem tárgyalja le ezt a protokollverziót az SSPI-hívó által megadott beállításoktól függetlenül.
Ezek a beállításjegyzék-értékek külön vannak konfigurálva a protokollügyfél- és kiszolgálói szerepkörökhöz a következő formátumban elnevezett beállításjegyzék-alkulcsok alatt:
<SSL/TLS/DTLS> <major version number>.<minor version number><Client\Server>
Ezek a verzióspecifikus alkulcsok a következő beállításjegyzék-elérési úton hozhatók létre:
HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
Íme például néhány érvényes beállításjegyzék-elérési út verzióspecifikus alkulcsokkal:
HKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\ClientHKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\ServerHKLM SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\DTLS 1.2\Client
A rendszer alapértelmezett értékének felülbírálásához és egy támogatott (D)TLS- vagy SSL-protokollverzió állapotának Enabled beállításához hozzon létre egy DWORD beállításjegyzék-értéket Enabled , amelynek bejegyzésértéke "1" a megfelelő verzióspecifikus alkulcs alatt.
Az alábbi példában a TLS 1.0-ügyfél engedélyezve állapotra van állítva:
A rendszer alapértelmezett értékének felülbírálásához és a támogatott (D)TLS vagy SSL protokoll verziójának állapotra Disabled való beállításához módosítsa a DWORD beállításjegyzékének Enabled értékét "0" értékre a megfelelő verzióspecifikus alkulcs alatt.
Az alábbi példa a beállításjegyzékben letiltott DTLS 1.2-t mutatja be:
A (D)TLS- vagy SSL-protokollverzió Disabled állapotra váltása a AcquireCredentialsHandle hívások meghiúsulását okozhatja, mivel nincs elegendő rendszerszinten engedélyezett protokollverzió, amelyet ugyanakkor a konkrét SSPI-hívók is engedélyeznek. Emellett a (D)TLS- és SSL-verziók halmazának Enabled csökkentése megszakíthatja a távoli társokkal való együttműködést.
A (D)TLS vagy AZ SSL protokoll verzióbeállításainak módosítása után azok érvénybe lépnek a hitelesítőadat-leírókkal létrehozott kapcsolatokra, amelyeket a későbbi AcquireCredentialsHandle-hívások nyitnak meg. (D)A TLS- és SSL-ügyfél- és kiszolgálóalkalmazások és -szolgáltatások általában több kapcsolat hitelesítő adatait használják fel teljesítménybeli okokból. Ahhoz, hogy ezek az alkalmazások újból megkaphassák hitelesítő adataikat, szükség lehet egy alkalmazás vagy szolgáltatás újraindítására.
Ezek a beállításjegyzék-beállítások csak az Schannel SSP-re vonatkoznak, és nem érintik a rendszeren esetleg telepített külső (D)TLS- és SSL-implementációkat.
Figyelmeztetés
A cikkben nem kifejezetten részletezett Schannel-beállításjegyzék-beállítások létrehozásának vagy módosításának megkísérlése nem ajánlott a nem támogatott konfigurációkból eredő lehetséges kockázatok és nem szándékos következmények miatt.
A TLS-titkosítási csomag PowerShell-lel való kezeléséről a TLS-parancsreferenciában olvashat. Ha szeretné csoportházirenddel kezelni a TLS-beállításokat, tekintse meg a TLS-titkosítási csomag rendelésének csoportházirenddel történő konfigurálását.