Microsoft Windows上的DisabledByDefault和Enabled SSL / TLS注

发布时间：2020-12-14 01:57:45 所属栏目：Windows 来源：网络整理

导读：Microsoft提供传输层安全性(TLS)的最佳实践指南.本文档介绍了可以启用或禁用特定协议的注册表项. https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls#configuring-schannel-protocols-in-the-windows-registry 例如,要启用TLS 1.2,

Microsoft提供传输层安全性(TLS)的最佳实践指南.本文档介绍了可以启用或禁用特定协议的注册表项.

https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls#configuring-schannel-protocols-in-the-windows-registry

例如,要启用TLS 1.2,您可以添加以下注册表项.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:FFFFFFFF

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolsTLS 1.2Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:FFFFFFFF

DisabledByDefault和Enabled有什么区别？他们似乎多余.

解决方法

在 SCHANNEL_CRED structure中,即 passed to AcquireCredentialsHandle as part of setting up a secure channel,您可以选择在grbitEnabledProtocols位掩码字段中手动选择要支持的协议.

因此,Enabled控制您可以在此处启用的协议,而DisabledByDefault指定在省略此字段时是否启用协议(即将其保留为0).

> Managing SSL/TLS Protocols and Cipher Suites for AD FS | Microsoft Docs文章建议将禁用协议的DisabledByDefault设置为1,此外还要将Enabled设置为0.因此,如果忽略此字段,则无条件地使用DisabledByDefault自动生成该字段的值.

该字段的注释表示不建议在新代码中使用它.所以这两个注册表值几乎是多余的：

For new development,applications should set grbitEnabledProtocols to
zero and use the protocol versions enabled on the system by default.

This member is used only by the Microsoft Unified Security Protocol
Provider security package.

The global system registry settings take precedence over this value.
For example,if SSL3 is disabled in the registry,it cannot be enabled
using this member.

目前还不清楚如果您尝试使用未启用的协议会发生什么.从最后一段和a lack of any relevant AcquireCredentialsHandle error code for this case来看,我的猜测是它可能被忽略了.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!