Búsqueda de sitios web

Cómo deshabilitar TLS 1.0 y TLS 1.1 en Windows usando GPO

En este artículo, mostraremos cómo deshabilitar las versiones heredadas del protocolo de seguridad de la capa de transporte en Windows mediante políticas de grupo. Las versiones de TLS 1.0 y 1.1 ya no son seguras y deben desactivarse de forma predeterminada para todos los servicios. Si ha migrado todos sus servicios a TLS 1.2 o TLS 1.3, puede deshabilitar la compatibilidad con el protocolo heredado en sus clientes y servidores de Windows mediante GPO.

Puede obtener una lista de los protocolos SSL/TLS admitidos en un servidor utilizando los servicios en línea de SSL Labs (vea un ejemplo en el artículo El sitio no puede proporcionar una conexión segura).

En el cliente de Windows, puede ver una lista de las versiones del protocolo TLS habilitado para un navegador en las Opciones de Internet (

inetcpl.cpl

). Esta captura de pantalla muestra que TLS 1.0, TLS 1.1, TLS 1.2 y TLS 1.3 están habilitados. Al establecer una conexión con un servidor, se selecciona para el cifrado la versión de TLS más alta admitida tanto por un cliente como por un servidor.

Si desactiva la compatibilidad con versiones antiguas de TLS, los usuarios no podrán conectarse a los servicios heredados. Por lo tanto, recomendamos probar las nuevas configuraciones con anticipación en grupos piloto de computadoras y servidores.

Puede configurar una lista de protocolos TLS/SSL habilitados en la pestaña Opciones de Internet en un cliente mediante la opción Desactivar soporte de cifrado GPO en Configuración del equipo -> Plantillas administrativas -> Componentes de Windows -> Internet Explorer -> Panel de control de Internet Explorer -> Página avanzada.

Habilite la política y seleccione qué versiones de TLS/SSL podrán usar sus usuarios en la lista desplegable Combinaciones de protocolo seguro.

Esta configuración de GPO coincide con el parámetro de registro SecureProtocols en la clave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings.

Deberá reiniciar su computadora para aplicar la nueva configuración de GPO, abrir Opciones de Internet nuevamente y asegurarse de que solo estén disponibles las versiones de TLS que ha permitido en GPO. El usuario no podrá cambiar esta configuración (nota Algunas configuraciones son administradas por el mensaje del administrador del sistema).

Desafortunadamente, no puede dejar solo TLS 1.3 y TLS 1.2 habilitados aquí, ya que no existe tal opción en GPO. Además, no deshabilita la compatibilidad con TLS 1.0 y TLS 1.1 en el lado de su Windows Server (en IIS o Exchange, por ejemplo).

Por lo tanto, es mejor deshabilitar las versiones heredadas de TLS directamente a través del registro. Puede usar el GPO para implementar los parámetros de registro que necesita en los equipos de dominio.

Para deshabilitar TLS 1.0 en Windows tanto para un cliente como para un servidor, agregue las siguientes opciones al registro:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

Puede deshabilitar otros protocolos de la misma manera. Basta con reemplazar la ruta resaltada en el registro con SSL 2.0, SSL 3.0, TLS 1.1, etc.

Para forzar la habilitación de TLS 1.2, agregue las siguientes entradas de registro:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001

De este modo. verá lo siguiente en Configuración de la computadora -> Preferencias -> Configuración de Windows -> sección Registro de GPO.

Reinicie Windows para aplicar la configuración.

Además de cambiar la configuración de las versiones de TLS disponibles en el registro, debe permitir el uso de TLS 1.2 para aplicaciones NET 3.5 y 4.x, y para WinHTTP. Por ejemplo, Outlook utiliza configuraciones de cifrado para WinHTTP (obtenga más información en este artículo).

Para habilitar los protocolos de cifrado del sistema para .Net 3.5 y 2.0:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v2.0.50727]
"SchUseStrongCrypto"=dword:00000001

Para .Net 4.x:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001

Para habilitar el uso de TLS 1.2 para WinHTTP:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp]
"DefaultSecureProtocols"=dword:00000800

En Windows Server, también puede usar la herramienta ISS Crypto GUI (https://www.nartac.com/Products/IISCrypto/Download) para ver y configurar los ajustes de SCHANNEL.

Artículos relacionados