Activar TLS 1.2 y desactivar SSL2 en IIS
por obadiola | mayo 22, 2014 2 comentarios
Actualmente en mi empresa estamos potenciando las aplicaciones SaaS y para mejorar la seguridad e imagen frente al cliente tenia que aumentar la seguridad de los servidores Windows para que aceptarán mas protocolos de seguridad para las páginas web que tenemos alojadas en los IIS.
En la página web https://www.ssllabs.com/ssltest/ podemos comprobar la puntuación que nos da según la seguridad de nuestro certificado SSL y la configuración del servidor.
En esta página, si tenemos un servidor Windows 2008 R2 con el IIS, nos dará una puntuación de F, la peor…
En la propia página nos indica que protocolos es necesario activar para poder subir la nota.
Después de buscar mucho en Internet y realizar varias pruebas esta es la configuración que se le ha de indicar a Windows para que se activen los protocolos necesarias para que podamos obtener una “A-” en las pruebas SSL.
Abrimos el registro de windows
Ejecutamos regedit en la ventana ejecutar.
Abrimos el arbol de registro
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
como se ve en la imagen siguiente
Imagen 20140520_112451
Si las claves que vemos en la imagen no existen se han de crear. Recordad que el Registro de Windows distinge entre Mayusculas y Minusculas
Dentro de Client y Server de las claves TLS 1.1 y TLS 1.2 se han de añadir dos valores DWORD de 32bits como se indica a continuación, desactivando el Disable y forzando la activación.
Imagen 20140520_112525
Dentro de Client y Server de las claves SSL 2 se han de añadir dos valores DWORD de 32 bits como se indica a continuación, Activando el Disabled y forzando que no se active.
Imagen 20140520_112511
Después de realizar estos cambios se ha de reiniciar el ordenador para que tengan efecto.
Ahora ya podéis volver a pasar el test de SSL y veréis como vuestra puntuación ha pasado a ser un A- en 2008 R2 o “A” si es un Windows 2012 R2.
Si queréis hacerlo mas rápido aquí debajo os dejo el código que podéis pegar un un bloc de notas y luego cambiar la extensión a .reg para que os genere los valores y claves de forma automática.
[code]
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[/code]
Y luego agrega estas lineas en el registro de windows
.NET 4.0 no activa TLS 1.2 de forma predeterminada. Para activar TLS 1.2 de forma predeterminada, es posible instalar .NET Framework 4.5 o una versión posterior, y establecer el valor DWORD de SchUseStrongCrypto en 1 en las siguientes dos entradas del registro del sistema, creándolas si no existen: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.NETFramework\v4.0.30319 y HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft.NETFramework\v4.0.30319. No obstante, esas claves del registro del sistema pueden activar TLS 1.2 de forma predeterminada en todas las aplicaciones .NET 4.0, 4.5, 4.5.1 y 4.5.2 instaladas en ese sistema. Recomendamos probar este cambio antes de implementarlo en sus servidores de producción. Esto también está disponible como un archivo de importación para el registro del sistema.Sin embargo, estos valores del registro del sistema no afectarán a las aplicaciones .NET que establecen el valor System.Net.ServicePointManager.SecurityProtocol.
yo ya lo probé y esto soluciona el problema