Unsichere TLS-Neuaushandlung mit Servern deaktivieren
Der DWORD-Wert `0` versetzt Schannel für ausgehende TLS-Verbindungen in den strikten Clientmodus.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\AllowInsecureRenegoServers
Der DWORD-Wert 0 versetzt Schannel für ausgehende TLS-Verbindungen in den strikten Clientmodus. Der lokale Computer kann TLS-Sitzungen nur mit Servern aufbauen oder neu aushandeln, die eine sichere Neuaushandlung unterstützen.
Signalisiert ein Server diese Unterstützung nicht, bricht der Schannel-Client bereits den Aufbau der TLS-Sitzung ab. Die Einstellung verhindert daher nicht nur eine spätere unsichere Neuaushandlung, sondern kann die gesamte TLS-Verbindung zu einem nicht kompatiblen Server unterbinden.
Hinweise
Sicherheit
Der strikte Clientmodus verhindert Verbindungen mit Servern, die noch das ältere, gegen Manipulationen während der TLS-Neuaushandlung anfällige Verfahren verwenden. Dadurch werden Schannel-basierte Clientverbindungen gegen Angriffe geschützt, die fehlende kryptografische Bindungen zwischen der ursprünglichen TLS-Sitzung und einer Neuaushandlung ausnutzen.
Der Wert deaktiviert keine sichere TLS-Neuaushandlung und schaltet weder TLS insgesamt noch eingehende TLS-Verbindungen ab.
Mögliche Nebenwirkungen
Anwendungen und Dienste, die Schannel als TLS-Client verwenden, können keine Verbindung mehr zu älteren, ungepatchten oder anderweitig inkompatiblen TLS-Servern herstellen. Das gilt auch dann, wenn die betreffende Anwendung während der Sitzung voraussichtlich keine Neuaushandlung anfordern würde.
Hinweise
Entgegen einer möglichen Interpretation des Namens steuert AllowInsecureRenegoServers nicht das Verhalten des lokalen Computers als TLS-Server. Der Wert bestimmt, ob der lokale Schannel-Client Verbindungen mit unsicheren beziehungsweise nicht kompatiblen Remoteservern zulässt. Das Verhalten des lokalen Schannel-Servers gegenüber solchen Clients wird durch den separaten Wert AllowInsecureRenegoClients gesteuert.
Die Einstellung gilt nur für Anwendungen und Dienste, die den Windows-Sicherheitsanbieter Schannel verwenden. TLS-Implementierungen von Drittanbietern werden dadurch nicht gesteuert.
Microsoft-Dokumentation
Microsoft Support: MS10-049 – Sicherheitsrisiken in SChannel können Remotecodeausführung ermöglichen
Microsoft Learn: Registrierungseinstellungen für Transport Layer Security (TLS)