Veraltetes TLS deaktivieren

Das Deaktivieren veralteter TLS-Protokollversionen ist ein wesentlicher Schritt, um eine sichere Kommunikation zwischen Devolutions Server-Komponenten zu gewährleisten. Veraltete Protokolle wie SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1 sind anfällig und sollten in Produktionsumgebungen nicht verwendet werden.

Empfohlene Konfiguration

• Deaktivieren Sie SSL und veraltete TLS-Versionen auf allen Systemen, die Devolutions Server-Komponenten hosten. Nur TLS 1.2 und TLS 1.3 sollten aktiviert bleiben.
• Überprüfen und beschränken Sie die Cipher Suites, um die Verwendung schwacher oder veralteter Algorithmen zu verhindern. Die Sicherstellung moderner und sicherer Cipher Suites verringert das Risiko von Downgrade-Angriffen.
• Validieren Sie die Kompatibilität vor der Bereitstellung. Einige älteren Anwendungen oder Clients unterstützen möglicherweise keine modernen TLS-Versionen. Ein Test in einer kontrollierten Umgebung wird empfohlen, um Dienstunterbrechungen zu vermeiden.

Implementierungsrichtlinien

Die folgenden Methoden können verwendet werden, um anfällige Protokollversionen unter Windows Server zu deaktivieren:

• Gruppenrichtlinie: Konfigurieren Sie die TLS-Einstellungen unter Computerkonfiguration – Administrative Vorlagen – Netzwerk – SSL-Konfigurationseinstellungen.
• Registrierungskonfiguration: TLS-Protokolle können manuell aktiviert oder deaktiviert werden, indem die entsprechenden Schlüssel unter folgendem Pfad angepasst werden: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• IIS-Konfiguration: Stellen Sie sicher, dass nur sichere TLS-Versionen und Cipher Suites für alle webbasierten Komponenten aktiv sind.

Microsoft hat einen Leitfaden zu TLS-Versionserzwingungsfunktionen verfasst, die jetzt pro Zertifikatsbindung unter Windows Server 2019 verfügbar sind.

Compliance und Best Practices

Das Deaktivieren von veraltetem TLS entspricht den Anforderungen mehrerer Sicherheitsstandards. Dies hilft, die Anfälligkeit für bekannte Protokollschwachstellen zu verringern und die allgemeine Sicherheitslage der Plattform zu verbessern.

Überprüfung

Nach dem Anwenden der Konfiguration wird empfohlen, das Setup mit einem TLS-Scan-Tool zu validieren, um sicherzustellen, dass nur genehmigte Protokollversionen und Cipher Suites aktiviert sind.