최대 지원 서버와 통신하기위한 기본 보안 프로토콜은 무엇입니까 TLS 1.2? 윌 .NET기본적으로 서버 측에서 지원하는 최고 보안 프로토콜을 선택하거나 내가 명시 적으로이 코드 줄을 추가해야합니까 :

System.Net.ServicePointManager.SecurityProtocol = 
SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

코드 변경 외에이 기본값을 변경하는 방법이 있습니까?

마지막으로 .NET 4.0최대 TLS 1.0? 즉, 지원하려면 클라이언트 프로젝트를 4.5로 업그레이드해야합니다 TLS 1.2.

내 동기는 SSLv3서버가 지원하더라도 클라이언트 측에 대한 지원을 제거 하고 (시스템 레지스트리 에서이 기능을 비활성화하는 powershell 스크립트가 있음) 서버가 지원하는 가장 높은 TLS 프로토콜을 지원하는 것입니다.

업데이트 :ServicePointManager 클래스를 보면 및에 .NET 4.0대한 열거 값이 표시되지 않습니다 . 둘 다 기본값은 입니다. 레지스트리에서 비활성화해도이 기본값이 깨지지 않기를 바랍니다 .TLS 1.01.1.NET 4.0/4.5SecurityProtocolType.Tls|SecurityProtocolType.Ssl3SSLv3

그러나 모든 응용 프로그램의 모든 부트 스트랩 코드로 모든 응용 프로그램 을 업그레이드 .NET 4.5하고 명시 적으로 추가 해야한다고 결정했습니다 SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;.

이렇게하면 다양한 API 및 서비스에 대한 아웃 바운드 요청이 다운 그레이드되지 않고 SSLv3최고 수준을 선택해야합니다 TLS.

이 접근 방식이 합리적이거나 과도하게 들립니까? 업데이트 할 응용 프로그램이 많으며 TLS 1.0가까운 장래에 일부 공급자가 더 이상 사용하지 않을 수 있다고 들었으므로 향후 증명하고 싶습니다 .

클라이언트가 API에 대한 아웃 바운드 요청을 할 때 레지스트리에서 SSL3을 비활성화하면 .NET 프레임 워크에도 영향을 미치나요? 기본적으로 TLS 1.1 및 1.2는 활성화되어 있지 않습니다. 레지스트리를 통해 활성화해야합니까? RE http://support.microsoft.com/kb/245030 .

약간의 조사 후에 레지스트리 설정이 IIS (서버 하위 키) 및 브라우저 (클라이언트 하위 키)에 적용되므로 영향을 미치지 않습니다.

죄송합니다.이 게시물은 여러 개의 질문으로 바뀌 었으며 "아마도"답변이 이어졌습니다.

의견을 남기는 사람들 중 일부는 System.Net.ServicePointManager.SecurityProtocol특정 값으로 설정 하면 앱이 향후 .NET 업데이트에서 기본값이 될 수있는 향후 TLS 버전을 이용할 수 없음을 의미합니다. 고정 된 프로토콜 목록을 지정하는 대신 알고 있고 관심이있는 프로토콜을 켜거나 끄고 다른 프로토콜은 그대로 둡니다.

다른 프로토콜에 영향을주지 않고 TLS 1.1 및 1.2를 켜려면

System.Net.ServicePointManager.SecurityProtocol |= 
    SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

사용주의 |=다른 사람을 끄지 않고 이러한 플래그을 설정하는합니다.

다른 프로토콜에 영향을주지 않고 SSL3을 끄려면 :

System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;

System.Net.ServicePointManager.SecurityProtocol두 .NET 의 기본값 4.0/4.5은 SecurityProtocolType.Tls|SecurityProtocolType.Ssl3입니다.

.NET 4.0최대 지원하는 TLS 1.0동안 .NET 4.5최대 지원하는TLS 1.2

그러나 응용 프로그램 타겟팅 .NET 4.0은 동일한 환경에 설치된 TLS 1.2경우 에도 계속 지원할 수 .NET 4.5있습니다. .NET 4.5를 .NET 4.0대신하여 설치합니다 System.dll.

트래픽에 설정된 올바른 보안 프로토콜을 관찰하고 프로젝트 fiddler4에서 열거 된 값을 수동으로 설정하여이를 확인 .NET 4.0했습니다.

ServicePointManager.SecurityProtocol = (SecurityProtocolType)192 |
(SecurityProtocolType)768 | (SecurityProtocolType)3072;

참고:

namespace System.Net
{
    [System.Flags]
    public enum SecurityProtocolType
    {
       Ssl3 = 48,
       Tls = 192,
       Tls11 = 768,
       Tls12 = 3072,
    }
}

ONLY 만 .NET 4.0설치된 환경에서 해킹을 시도 하면 예외가 발생합니다.

처리되지 않은 예외 : System.NotSupportedException : 요청한 보안 프로토콜이 지원되지 않습니다. System.Net.ServicePointManager.set_SecurityProtocol (SecurityProtocolType v alue)에서

그러나 향후 패치 등으로 인해 문제가 발생할 수 있으므로이 "해킹"을 권장하지 않습니다. *

따라서 지원을 제거하는 가장 좋은 방법 SSLv3은 다음과 같습니다.

1. 모든 응용 프로그램을 .NET 4.5

2. 부스트 랩핑 코드에 다음을 추가하여 기본 및 향후 증거를 무시하십시오.

   System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

*이 해킹이 잘못되면 누군가가 나를 수정하지만 초기 테스트에서 작동하는 것으로 보입니다.

다음 레지스트리에서 기본 동작을 무시할 수 있습니다.

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

과

Key  : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319
Value: SchUseStrongCrypto
Type: REG_DWORD
Data : 1

자세한 내용은의 구현을ServicePointManager 참조하십시오 .

.reg확장자와 다음 내용 으로 텍스트 파일을 작성하십시오 .

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

또는 다음 소스에서 다운로드하십시오.

https://tls1test.salesforce.com/s/NET40-Enable-TLS-1_2.reg

두 번 클릭하여 설치 ...

TLS 1.2 만 지정하면 여전히 1.1로 다운 협상한다는 것을 알았습니다. System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;

내 .net 4.5 웹 응용 프로그램의 Global.asax 시작 방법에서 이것을 지정했습니다.

다음 코드는 :

• 인쇄 가능 프로토콜
• 사용 가능한 프로토콜 인쇄
• 플랫폼에서 지원하고 시작으로 활성화되지 않은 경우 TLS1.2를 활성화하십시오.
• 활성화 된 경우 SSL3 비활성화
• 최종 결과 인쇄

상수 :

• 48은 SSL3입니다
• 192는 TLS1입니다
• 768은 TLS1.1입니다
• 3072는 TLS1.2입니다

다른 프로토콜은 영향을받지 않습니다. 이는 향후 프로토콜 (Tls1.3 등)과 호환됩니다.

암호

// print initial status
    Console.WriteLine("Runtime: " + System.Diagnostics.FileVersionInfo.GetVersionInfo(typeof(int).Assembly.Location).ProductVersion);
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);
    Console.WriteLine("Available protocols: ");
    Boolean platformSupportsTls12 = false;
    foreach (SecurityProtocolType protocol in Enum.GetValues(typeof(SecurityProtocolType))) {                
        Console.WriteLine(protocol.GetHashCode());
        if (protocol.GetHashCode() == 3072){
            platformSupportsTls12 = true;
        }
    }
    Console.WriteLine("Is Tls12 enabled: " + ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072));    


// enable Tls12, if possible
    if (!ServicePointManager.SecurityProtocol.HasFlag((SecurityProtocolType)3072)){
        if (platformSupportsTls12){
            Console.WriteLine("Platform supports Tls12, but it is not enabled. Enabling it now.");
            ServicePointManager.SecurityProtocol |= (SecurityProtocolType)3072;
        } else {
            Console.WriteLine("Platform does not supports Tls12.");
        }
    }

// disable ssl3
   if (ServicePointManager.SecurityProtocol.HasFlag(SecurityProtocolType.Ssl3)) { 
      Console.WriteLine("Ssl3SSL3 is enabled. Disabling it now.");
      // disable SSL3. Has no negative impact if SSL3 is already disabled. The enclosing "if" if just for illustration.
      System.Net.ServicePointManager.SecurityProtocol &= ~SecurityProtocolType.Ssl3;                      
   }
    Console.WriteLine("Enabled protocols:   " + ServicePointManager.SecurityProtocol);

산출

Runtime: 4.7.2114.0
Enabled protocols:   Ssl3, Tls
Available protocols: 
0
48
192
768
3072
Is Tls12 enabled: False
Platform supports Tls12, but it is not enabled. Enabling it now.
Ssl3 is enabled. Disabling it now.
Enabled protocols:   Tls, Tls12

고객이 TLS를 1.0에서 1.2로 업그레이드 할 때 문제가 발생했습니다. 내 응용 프로그램은 .net framework 3.5를 사용하고 서버에서 실행됩니다. 그래서 나는 이것을 이런 식으로 고쳤다.

1. 프로그램 수정

HttpWebRequest.GetResponse ()를 호출하기 전에 다음 명령을 추가하십시오.

ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolTypeExtensions.Tls11 | SecurityProtocolTypeExtensions.Tls12;

System.Net 및 System.Security.Authentication이라는 두 개의 새 클래스를 추가하여 확장 2 DLL

    namespace System.Net
    {
        using System.Security.Authentication;
        public static class SecurityProtocolTypeExtensions
        {
            public const SecurityProtocolType Tls12 = (SecurityProtocolType)SslProtocolsExtensions.Tls12;
            public const SecurityProtocolType Tls11 = (SecurityProtocolType)SslProtocolsExtensions.Tls11;
            public const SecurityProtocolType SystemDefault = (SecurityProtocolType)0;
        }
    } 

    namespace System.Security.Authentication
    {
        public static class SslProtocolsExtensions
        {
            public const SslProtocols Tls12 = (SslProtocols)0x00000C00;
            public const SslProtocols Tls11 = (SslProtocols)0x00000300;
        }
    } 

2. Microsoft 배치 업데이트

배치 다운로드 :

• Windows 2008 R2의 경우 : windows6.1-kb3154518-x64.msu
• Windows 2012 R2의 경우 : windows8.1-kb3154520-x64.msu

일괄 다운로드 및 자세한 내용은 여기를 참조하십시오.

https://support.microsoft.com/ko-kr/help/3154518/support-for-tls-system-default-versions-included-in-the-.-net-framework-3.5.1-on-windows-7 -sp1- 및 서버 -2008-r2-sp1

레지스트리 변경 메커니즘은 투쟁 후에 나를 위해 일했습니다. 실제로 내 응용 프로그램은 32 비트로 실행되었습니다. 그래서 경로 아래에서 값을 변경해야했습니다.

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft.NETFramework\v4.0.30319

값 유형은 DWORD이고 0보다 큰 값이어야합니다.

.NET 4.5.2에서 실행 중이며 이러한 답변에 만족하지 않았습니다. TLS 1.2를 지원하는 시스템과 대화하고 SSL3, TLS 1.0 및 TLS 1.1이 모두 손상되어 사용하기에 안전하지 않기 때문에 이러한 프로토콜을 사용하고 싶지 않습니다. .NET 4.5.2에서 SSL3 및 TLS 1.0 프로토콜은 모두 기본적으로 사용하도록 설정되어 있으며 코드를 통해 확인할 수 있습니다 ServicePointManager.SecurityProtocol. .NET 4.7에는 새로운 기능이 있습니다.SystemDefault프로토콜 선택을 OS에 명시 적으로 전달하는 프로토콜 모드. 레지스트리 또는 기타 시스템 구성 설정에 의존하는 것이 적절하다고 생각합니다. 그러나 .NET 4.5.2에서는 지원되지 않는 것 같습니다. 앞으로 호환되는 코드를 작성하려면 TLS 1.2가 미래에 불가피하게 중단되거나 .NET 4.7+로 업그레이드하고 OS에 적합한 프로토콜을 선택하는 데 더 많은 책임을 맡길 때에도 올바른 결정을 내릴 것입니다. 다음 코드를 채택했습니다.

SecurityProtocolType securityProtocols = ServicePointManager.SecurityProtocol;
if (securityProtocols.HasFlag(SecurityProtocolType.Ssl3) || securityProtocols.HasFlag(SecurityProtocolType.Tls) || securityProtocols.HasFlag(SecurityProtocolType.Tls11))
{
    securityProtocols &= ~(SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls | SecurityProtocolType.Tls11);
    if (securityProtocols == 0)
    {
        securityProtocols |= SecurityProtocolType.Tls12;
    }
    ServicePointManager.SecurityProtocol = securityProtocols;
}

이 코드는 알려진 비보안 프로토콜이 활성화 된시기를 감지하고이 경우 비보안 프로토콜을 제거합니다. 다른 명시 적 프로토콜이 남아 있지 않으면이 시점에서 .NET이 지원하는 유일한 보안 프로토콜로 TLS 1.2를 강제로 활성화합니다. 이 코드는 앞으로 추가 될 것이라는 것을 모르는 새로운 프로토콜 유형을 고려할 것이므로 앞으로 호환됩니다.SystemDefault.NET 4.7의 상태이므로 향후이 코드를 다시 방문 할 필요가 없습니다. 특정 보안 프로토콜 상태를 무조건 하드 코딩하는 대신 이와 같은 접근 방식을 채택 할 것을 강력히 권장합니다. 필연적으로 깨지거나 서버에서 기존의 안전하지 않은 프로토콜을 몇 년 동안 켜 두어 조직을 공격의 대상으로 삼아야 할 가능성이 높습니다.

Microsoft는 최근이 문제에 대한 모범 사례를 발표했습니다. https://docs.microsoft.com/en-us/dotnet/framework/network-programming/tls

요약

.Net Framework 4.7을 대상으로하고 SecurityProtocol을 설정하는 코드를 제거하면 OS가 가장 안전한 솔루션을 사용할 수 있습니다.

NB : 또한 최신 버전의 TLS가 OS에서 지원되고 활성화되어 있는지 확인해야합니다.

OS                          TLS 1.2 support

Windows 10                  \_ Supported, and enabled by default.
Windows Server 2016         /   
Windows 8.1                 \_ Supported, and enabled by default.
Windows Server 2012 R2      /
Windows 8.0                 \_ Supported, and enabled by default.
Windows Server 2012         /
Windows 7 SP1               \_ Supported, but not enabled by default*.
Windows Server 2008 R2 SP1  /
Windows Server 2008         -  Support for TLS 1.2 and TLS 1.1 requires an update. See Update to add support for TLS 1.1 and TLS 1.2 in Windows Server 2008 SP2.
Windows Vista               -  Not supported.

* To enable TLS1.2 via the registry see https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings#tls-12 

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Server

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

    Path: HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS1.2\Client

        Property: Enabled
        Type: REG_DWORD
        Value: 1

        Property: DisabledByDefault 
        Type: REG_DWORD
        Value: 0

자세한 정보 및 이전 프레임 워크는 MS 링크를 참조하십시오.

완성도를 높이기 위해 위에서 언급 한 레지스트리 키를 설정하는 Powershell 스크립트는 다음과 같습니다.

new-itemproperty -path "HKLM:\SOFTWARE\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord";
new-itemproperty -path "HKLM:\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319" -name "SchUseStrongCrypto" -Value 1 -PropertyType "DWord"

위에서 언급 한 하드 코딩 ServicePointManager.SecurityProtocol또는 명시 적 SchUseStrongCrypto 키에 대한 대안 :
.NET에 SystemDefaultTlsVersions 키와 함께 기본 SCHANNEL 설정을 사용하도록 지시 할 수 있습니다
.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001

이 문제에 대한 최선의 해결책은 최소한 .NET 4.6 이상으로 업그레이드하는 것 같습니다. 강력한 암호뿐만 아니라 강력한 프로토콜도 자동으로 선택합니다.

.NET 4.6으로 업그레이드 할 수없는 경우 설정에 대한 조언

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls11 | SecurityProtocolType.Tls12;

레지스트리 설정 사용

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 – SchUseStrongCrypto = 1의 DWORD HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Microsoft.NETFramework \ v4.0.30319 – SchUseStrongCrypto = 1의 DWORD

TLS 1.0 이외의 강력한 암호를 사용합니다.

필자의 테스트에서는 테스트 응용 프로그램이 모든 CPU 용으로 구축되었지만 Wow6432Node의 설정 만 차이가있었습니다.

에 따르면 전송 계층 보안 (TLS)은 .NET 프레임 워크 우수 사례 것은 : .NET Framework 응용 프로그램의 보안을 유지 보장하기 위해, TLS 버전은해야 하지 하드 코딩. 대신 레지스트리 키를 설정 : SystemDefaultTlsVersions 및 SchUseStrongCrypto :

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

.NET 4.7.1 이상을 사용할 수 있으면 운영 체제 기능을 기반으로 최소 프로토콜로 TLS 1.2를 사용합니다. Microsoft 권장 사항에 따라 :

To ensure .NET Framework applications remain secure, the TLS version should not be hardcoded. .NET Framework applications should use the TLS version the operating system (OS) supports.

키의 경우 : HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft.NETFramework \ v4.0.30319 값 : SchUseStrongCrypto

값을 1로 설정해야합니다.