Transport Layer Security in Backup di Azure

Articolo
06/15/2023

Transport Layer Security (TLS) è un protocollo di crittografia che protegge i dati durante il trasferimento in rete. Backup di Azure usa la sicurezza a livello di trasporto per proteggere la privacy dei dati di backup trasferiti. Questo articolo descrive i passaggi per abilitare il protocollo TLS 1.2, che offre una maggiore sicurezza rispetto alle versioni precedenti.

Versioni precedenti di Windows

Se il computer esegue versioni precedenti di Windows, è necessario installare gli aggiornamenti corrispondenti indicati di seguito e le modifiche del Registro di sistema documentate negli articoli della Knowledge Base devono essere applicate.

Sistema operativo	articolo KB
Windows Server 2008 SP2	https://support.microsoft.com/help/4019276
Windows Server 2008 R2, Windows 7, Windows Server 2012	https://support.microsoft.com/help/3140245

Nota

L'aggiornamento installerà i componenti del protocollo necessari. Dopo l'installazione, è necessario apportare le modifiche della chiave del Registro di sistema indicate negli articoli della Knowledge Base precedenti per abilitare correttamente i protocolli necessari.

Verificare il Registro di sistema di Windows

Configurazione dei protocolli SChannel

Le chiavi del Registro di sistema seguenti assicurano che il protocollo TLS 1.2 sia abilitato a livello di componente SChannel:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "DisabledByDefault"=dword:00000000

Nota

I valori visualizzati sono impostati per impostazione predefinita in Windows Server 2012 R2 e versioni più recenti. Per queste versioni di Windows, se le chiavi del Registro di sistema sono assenti, non è necessario crearli.

Configurazione di .NET Framework

Le chiavi del Registro di sistema seguenti configurano .NET Framework per supportare la crittografia avanzata. Per altre informazioni sulla configurazione di .NET Framework, vedere qui.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

Modifiche ai certificati TLS di Azure

Gli endpoint TLS/SSL di Azure contengono ora il concatenamento dei certificati aggiornati fino alle nuove ca radice. Assicurarsi che le modifiche seguenti includano le ca radice aggiornate. Altre informazioni sui possibili impatti sulle applicazioni.

In precedenza, la maggior parte dei certificati TLS, usati dai servizi di Azure, concatenava fino alla CA radice seguente:

Nome comune della CA	Thumbprint (SHA1)
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474

Ora, i certificati TLS, usati dai servizi di Azure, consentono di concatenare fino a una delle ca radice seguenti:

Nome comune della CA	Thumbprint (SHA1)
DigiCert Global Root G2	df3c24f9bfd666761b268073fe06d1cc8d4f82a4
Ca radice globale DgiCert	a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436
Baltimore CyberTrust Root	d4de20d05e66fc53fe1a50882c78db2852cae474
D-TRUST Root Class 3 CA 2 2009	58e8abb0361533fb80f79b1b6d29d3ff8d5f00f0
Microsoft RSA Root Certificate Authority 2017	73a5e64a3bff8316ff0edccc618a906e4eae4d74
Microsoft ECC Root Certificate Authority 2017	999a64c37ff47d9fab95f14769891460eec4c3c5

Domande frequenti

Perché abilitare TLS 1.2?

TLS 1.2 è più sicuro rispetto ai protocolli di crittografia precedenti, ad esempio SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1. Backup di Azure servizi supportano già completamente TLS 1.2.

Che cosa determina il protocollo di crittografia usato?

La versione del protocollo più recente supportata sia dal client che dal server viene negoziata per stabilire la conversazione crittografata. Per altre informazioni sul protocollo di handshake TLS, vedere Definizione di una sessione protetta tramite TLS.

Qual è l'impatto dell'non abilitazione di TLS 1.2?

Per una maggiore sicurezza dagli attacchi di downgrade del protocollo, Backup di Azure sta iniziando a disabilitare le versioni TLS precedenti alla 1.2 in modo graduale. Questo fa parte di uno spostamento a lungo termine tra i servizi per impedire le connessioni legacy del protocollo e della suite di crittografia. Backup di Azure servizi e componenti supportano completamente TLS 1.2. Tuttavia, le versioni di Windows senza aggiornamenti necessari o alcune configurazioni personalizzate possono comunque impedire l'offerta dei protocolli TLS 1.2. Ciò può causare errori, ad esempio uno o più degli elementi seguenti:

Le operazioni di backup e ripristino potrebbero non riuscire.
Errori di connessione dei componenti di backup con errore 10054 (una connessione esistente è stata chiusa forzatamente dall'host remoto).
I servizi correlati alle Backup di Azure non verranno arrestati o avviati come di consueto.

Share via