Strikter Servermodus für die TLS-Neuaushandlung
Der DWORD-Wert `AllowInsecureRenegoClients` steuert, ob Schannel in seiner lokalen Serverrolle TLS-Clients akzeptiert, die keine sichere Neuaushandlung gemäß RFC 5746 unterstützen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\AllowInsecureRenegoClients
Der DWORD-Wert AllowInsecureRenegoClients steuert, ob Schannel in seiner lokalen Serverrolle TLS-Clients akzeptiert, die keine sichere Neuaushandlung gemäß RFC 5746 unterstützen.
Der Wert 0 aktiviert den strikten Servermodus. Schannel akzeptiert dann nur Clients, die sichere TLS-Neuaushandlung unterstützen. Dies betrifft sowohl den erstmaligen Aufbau als auch die Neuaushandlung einer TLS-Sitzung. Verbindungen von nicht kompatiblen Clients werden abgebrochen.
Die Einstellung deaktiviert die TLS-Neuaushandlung nicht grundsätzlich. Sie verlangt vielmehr, dass eine mögliche Neuaushandlung kryptografisch an die bereits bestehende TLS-Verbindung gebunden werden kann.
Hinweise
Sicherheit
Der strikte Modus schützt serverseitige Schannel-Verbindungen vor unsicherer TLS-/SSL-Neuaushandlung im Zusammenhang mit CVE-2009-3555. Bei dieser Schwachstelle kann ein Angreifer in einer Man-in-the-Middle-Position Daten an eine geschützte Verbindung voranstellen, die der Server anschließend dem authentifizierten Client zurechnen könnte.
Die Einstellung verhindert weder sämtliche Man-in-the-Middle-Angriffe noch ermöglicht die zugrunde liegende Schwachstelle allein das Entschlüsseln oder beliebige Verändern des verschlüsselten Datenverkehrs. Der Schutz bezieht sich konkret auf die sichere Bindung einer Neuaushandlung an die ursprüngliche Verbindung.
Mögliche Nebenwirkungen
Ältere oder anderweitig nicht kompatible TLS-Clients können keine Verbindung zu Diensten aufbauen, die auf diesem Computer Schannel in der Serverrolle verwenden. Die Ablehnung erfolgt nicht erst bei einer späteren Neuaushandlung, sondern kann bereits den Aufbau der TLS-Sitzung verhindern.
Hinweise
Trotz des Namensbestandteils Clients steuert dieser Wert das Verhalten der lokalen Schannel-Serverrolle gegenüber verbindungsaufbauenden Clients. Für das Verhalten der lokalen Clientrolle gegenüber Servern ist der separate Wert AllowInsecureRenegoServers maßgeblich.
Die Einstellung gilt für Anwendungen und Dienste, die den Schannel Security Support Provider von Windows verwenden. TLS-Implementierungen anderer Anbieter werden davon nicht gesteuert.
Microsoft-Dokumentation
Microsoft Support: MS10-049 – Sicherheitsrisiken in SChannel können Remotecodeausführung ermöglichen
Microsoft Learn: Übersicht über TLS/SSL (Schannel SSP)