Desactivar TLS heredado

Deshabilitar las versiones obsoletas del protocolo TLS es un paso esencial para garantizar una comunicación segura entre los componentes de Devolutions Server. Los protocolos heredados como SSL 2.0, SSL 3.0, TLS 1.0 y TLS 1.1 son vulnerables y no deben utilizarse en entornos de producción.

Configuración recomendada

• Deshabilite SSL y las versiones heredadas de TLS en todos los sistemas que alojan componentes de Devolutions Server. Solo deben permanecer habilitados TLS 1.2 y TLS 1.3.
• Revise y restrinja los conjuntos de cifrado para evitar el uso de algoritmos débiles u obsoletos. Garantizar conjuntos de cifrado modernos y seguros reduce el riesgo de ataques de degradación.
• Valide la compatibilidad antes del despliegue. Algunas aplicaciones o clientes más antiguos pueden no admitir versiones modernas de TLS. Se recomienda realizar pruebas en un entorno controlado para evitar interrupciones del servicio.

Directrices de implementación

Se pueden utilizar los siguientes métodos para deshabilitar las versiones vulnerables del protocolo en Windows Server:

• Directiva de grupo: configure los ajustes de TLS en Configuración del equipo – Plantillas administrativas – Red – Opciones de configuración de SSL.
• Configuración del registro: los protocolos TLS se pueden habilitar o deshabilitar manualmente ajustando las claves correspondientes en: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
• Configuración de IIS: asegúrese de que solo estén activas las versiones de TLS y los conjuntos de cifrado seguros para todos los componentes basados en web.

Microsoft ha redactado una guía sobre las capacidades de aplicación de la versión de TLS ahora disponibles por enlace de certificado en Windows Server 2019.

Cumplimiento normativo y buenas prácticas

Deshabilitar TLS heredado es coherente con los requisitos de varios estándares de seguridad. Esto ayuda a reducir la exposición a vulnerabilidades conocidas del protocolo y mejora la postura de seguridad general de la plataforma.

Verificación

Después de aplicar la configuración, se recomienda validar la instalación con una herramienta de análisis de TLS para asegurarse de que solo estén habilitadas las versiones del protocolo y los conjuntos de cifrado aprobados.