Verschlüsselungsstufe der Clientverbindung festlegen
Dieser `REG_DWORD`-Wert gehört zur computerbezogenen Gruppenrichtlinie für den Remotedesktopsitzungs-Host.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\MinEncryptionLevel
Dieser REG_DWORD-Wert gehört zur computerbezogenen Gruppenrichtlinie für den Remotedesktopsitzungs-Host. Er legt die Mindestverschlüsselungsstufe für die Kommunikation zwischen RDP-Clients und dem Sitzungshost fest:
1– Niedrig: Verschlüsselt nur die vom Client zum Server übertragenen Daten mit 56-Bit-Verschlüsselung. Daten vom Server zum Client bleiben unverschlüsselt.2– Clientkompatibel: Verschlüsselt beide Übertragungsrichtungen mit der höchsten Schlüsselstärke, die der Client unterstützt.3– Hoch: Verschlüsselt beide Übertragungsrichtungen mit 128-Bit-Verschlüsselung.
Die Richtlinie betrifft ausschließlich die native RDP-Verschlüsselung. Wird die Verbindung durch SSL/TLS geschützt, bestimmt MinEncryptionLevel deren Verschlüsselung nicht. Die Einstellung konfiguriert außerdem weder die RDP-Sicherheitsebene noch die Authentifizierung auf Netzwerkebene.
Hinweise
Sicherheit
Bei 1 sind die vom Sitzungshost an den Client übertragenen Daten nicht durch die native RDP-Verschlüsselung geschützt. Außerdem verwendet die Gegenrichtung lediglich 56-Bit-Verschlüsselung. Diese Stufe bietet daher wesentlich weniger Schutz vor dem Mitlesen des Netzwerkverkehrs als die höheren Stufen.
Bei 2 hängt die tatsächliche Verschlüsselungsstärke von den Fähigkeiten des jeweiligen Clients ab. Dadurch können ältere Clients mit schwächerer Verschlüsselung weiterhin Verbindungen herstellen.
Bei 3 wird für die native RDP-Verschlüsselung eine einheitliche 128-Bit-Verschlüsselung erzwungen. Microsoft empfiehlt jedoch grundsätzlich SSL/TLS anstelle der nativen RDP-Verschlüsselung.
Mögliche Nebenwirkungen
Mit dem Wert 3 können sich RDP-Clients, die keine 128-Bit-Verschlüsselung unterstützen, nicht mit dem Remotedesktopsitzungs-Host verbinden.
Hinweise
Die Sicherheitsoption Systemkryptografie: FIPS-konformen Algorithmus für Verschlüsselung, Hashing und Signatur verwenden hat Vorrang vor dieser Richtlinie. Änderungen der Verschlüsselungsstufe werden für eine Benutzersitzung bei der nächsten Anmeldung wirksam.
Ist die zugehörige Gruppenrichtlinie deaktiviert oder nicht konfiguriert, erzwingt Windows über diese Richtlinie keine Verschlüsselungsstufe für RDP-Verbindungen.
Microsoft-Dokumentation
Microsoft Learn: RemoteDesktopServices-Richtlinien-CSP – ClientConnectionEncryptionLevel
Microsoft Learn: Win32_TSGeneralSetting-Klasse