Fallback zu SSL 3.0 (Internet Explorer) zulassen
Dieser computerweit geltende Registry-Wert steuert, ob Internet Explorer nach einer fehlgeschlagenen Verbindung mit TLS 1.0 oder höher einen erneuten Verbindungsversuch mit SSL 3.0 oder einem älteren aktivierten Protokoll durchführen darf.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\EnableSSL3Fallback
Dieser computerweit geltende Registry-Wert steuert, ob Internet Explorer nach einer fehlgeschlagenen Verbindung mit TLS 1.0 oder höher einen erneuten Verbindungsversuch mit SSL 3.0 oder einem älteren aktivierten Protokoll durchführen darf.
EnableSSL3Fallback ist ein REG_DWORD-Wert mit folgenden durch die administrative Vorlage definierten Bedeutungen:
0: Kein unsicherer Fallback.1: Fallback nur für Websites beziehungsweise Sicherheitszonen, in denen der geschützte Modus von Internet Explorer nicht aktiv ist.3: Fallback sowohl innerhalb als auch außerhalb des geschützten Modus und damit für alle Websites.
Ist der Wert nicht durch die Richtlinie vorgegeben, verwendet Internet Explorer die Systemstandardeinstellung.
Hinweise
Sicherheit
Ein zugelassener Fallback eröffnet einen Downgrade-Pfad von TLS auf das veraltete SSL-3.0-Protokoll. Ein Angreifer in einer Man-in-the-Middle-Position kann unter geeigneten Bedingungen die TLS-Aushandlung stören, den Browser zur Verwendung von SSL 3.0 veranlassen und bekannte Schwächen dieses Protokolls ausnutzen. Dadurch können Teile des eigentlich verschlüsselten Datenverkehrs, beispielsweise Authentifizierungscookies, offengelegt werden.
Der Wert aktiviert SSL 3.0 nicht selbst und verändert auch nicht die Liste der in Internet Explorer oder Windows aktivierten Sicherheitsprotokolle. Ein Fallback ist nur möglich, wenn das betreffende ältere Protokoll durch andere Einstellungen verfügbar ist.
Mögliche Nebenwirkungen
Wird der Fallback vollständig unterbunden, können veraltete Websites oder Server nicht erreichbar sein, wenn ihre TLS-Aushandlung fehlschlägt und sie nur mit SSL 3.0 oder älteren Protokollen kommunizieren können. Bei 1 hängt die Kompatibilität zusätzlich davon ab, ob die jeweilige Internet-Explorer-Sicherheitszone den geschützten Modus verwendet.
Hinweise
Die Einstellung gehört zu den administrativen Vorlagen für Internet Explorer und gilt für den Computer. Sie ist kein systemweiter Schalter für Schannel und ändert das Protokollverhalten anderer Anwendungen nicht automatisch.
Microsoft-Dokumentation
Microsoft Learn: InternetExplorer-Richtlinien-CSP – AllowFallbackToSSL3
Microsoft Learn: Microsoft Security Advisory 3009008 – Sicherheitsanfälligkeit in SSL 3.0