Etapas para desabilitar o TLS 1.0 e 1.1 em servidores MBAM e forçar o uso do TLS 1.2

Este artigo descreve as etapas para desabilitar o TLS (Transport Layer Security) 1.0 e 1.1 nos servidores MBAM (Administração e Monitoramento do Microsoft BitLocker) e forçar o uso do TLS 1.2.

Número original do KB: 4558055

Sintomas

A Microsoft está planejando desabilitar protocolos TLS mais antigos, em preparação para desabilitar o TLS 1.0 e o TLS 1.1 por padrão. Consulte Planejar a alteração: TLS 1.0 e TLS 1.1 em breve serão desabilitados por padrão.

Para clientes corporativos, pode ser necessário desabilitar o TLS 1.0 e 1.1 em seu ambiente para a infraestrutura do MBAM (Administração e Monitoramento do Microsoft BitLocker).

Resolução

Siga estas etapas para desabilitar o TLS 1.0 e 1.1 em servidores MBAM e forçar o uso do TLS 1.2.

1. Baixe e instale a versão mais recente disponível do Microsoft .NET Framework em todos os servidores MBAM que sejam:

   • Servidores Web que executam funções do IIS
   • SQL Servers executando o Mecanismo de Banco de Dados do SQL Server e o SQL Server Reporting Services

   Consulte: Instalador offline do Microsoft .NET Framework 4.8 para Windows

2. Execute os scripts do PowerShell abaixo. Eles são usados para desabilitar o TLS 1.0 e 1.1 e forçar o uso apenas do TLS 1.2.

3. Reinicialize os servidores e teste os aplicativos Web do MBAM. Confirme se os clientes do MBAM podem se comunicar com o servidor para fazer backup das informações de recuperação.

<Tighten_DotNet.PS1>

#Tighten up the .NET Framework
$NetRegistryPath = "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null
$NetRegistryPath = "HKLM:\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319"
New-ItemProperty -Path $NetRegistryPath -Name "SchUseStrongCrypto" -Value "1" -PropertyType DWORD -Force | Out-Null

<Force_TLS1.2.PS1>

$ProtocolList       = @("SSL 2.0","SSL 3.0","TLS 1.0", "TLS 1.1", "TLS 1.2")
$ProtocolSubKeyList = @("Client", "Server")
$DisabledByDefault = "DisabledByDefault"
$Enabled = "Enabled"
$registryPath = "HKLM:\\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\"

foreach($Protocol in $ProtocolList)
{
    Write-Host " In 1st For loop"
foreach($key in $ProtocolSubKeyList)
{
$currentRegPath = $registryPath + $Protocol + "\" + $key
Write-Host " Current Registry Path $currentRegPath"

if(!(Test-Path $currentRegPath))
{
    Write-Host "creating the registry"
New-Item -Path $currentRegPath -Force | out-Null

}
if($Protocol -eq "TLS 1.2")
{
    Write-Host "Working for TLS 1.2"
New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "0" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "1" -PropertyType DWORD -Force | Out-Null

}
else
{
    Write-Host "Working for other protocol"
New-ItemProperty -Path $currentRegPath -Name $DisabledByDefault -Value "1" -PropertyType DWORD -Force | Out-Null
New-ItemProperty -Path $currentRegPath -Name $Enabled -Value "0" -PropertyType DWORD -Force | Out-Null
}
}
}
Exit 0

Mais informações

Configurações do Registro do protocolo TLS