Microsoft deaktiviert TLS 1.0 und 1.1 in Windows: Einstellungen und Eventlogs prüfen

Das Standard­verhalten von Windows besteht darin, dass beide Seiten einer Verbindung die höchst­mögliche Version von TLS aushandeln. Die meisten Anwendungen unterstützen mittlerweile TLS 1.2 oder höher und nutzen Schannel über HTTP und .NET-APIs.

Einige ältere Programme rufen das Security Support Provider Interface (SSPI) jedoch direkt auf und legen dabei auch gleich die TLS-Version fest. Dabei handelt es dann oft um 1.0 oder 1.1. Sobald Microsoft diese veralteten Protokolle in Windows deaktiviert, scheitert eine solche Software.

Zu den bekannten Kandidaten gehören nicht nur ältere Ausführungen des Safari-Browsers oder von wie LANGuard, sondern auch SQL Server 2014 und 2016.

Ist TLS 1.0 / 1.1 abgeschaltet, dann generieren diese Programme einen Log-Eintrag mit der EventID 36871. Diesen kann man mit PowerShell so abfragen:

Get-EventLog -Source schannel -LogName system -InstanceId 36871

TLS 1.0 und 1.1 vorübergehend reaktivieren

Sobald Windows die alten Protokoll­versionen blockiert und einzelne Anwendungen das Event 36871 generieren, wird man TLS 1.0 oder 1.1 erneut aktivieren wollen, bis ein Update der Legacy-Software verfügbar und installiert ist.

Microsoft sieht für diesen Zweck den Eintrag Enabled mit dem Wert 1 in die Registry vor, und zwar unter

HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client

Für andere TLS-Versionen und die Server-Seite passt man den Pfad entsprechend an, also zum Beispiel

HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server

Eintrag mit PowerShell hinzufügen

Um den Eintrag etwa für TLS 1.0 hinzufügen, könnte man in PowerShell so vorgehen:

md -Force "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server New-ItemProperty -Name Enabled -Value 1 "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server"

Um sich anschließend einen Überblick über die aktuelle Konfiguration zu verschaffen, kann man diesen PowerShell-Befehl nutzen:

dir "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\*\*"

Microsoft rät davon ab, dies als Dauerlösung anzusehen, weil über kurz oder lang der Support für das alte Protokoll aus dem OS entfernt wird. Welche TLS-Versionen auf welchen Releases von Windows aktiviert und vorhanden sind, kann man dieser Tabelle entnehmen.

TLS-Version für PowerShell festlegen

PowerShell richtet sich nach der TLS-Konfiguration für .NET. Auf älteren Versionen von Windows, etwa auf Server 2016, lautet die Vorgabe immer noch auf "SSL3, TLS", wie man mit

[Net.ServicePointManager]::SecurityProtocol

feststellen kann.

Diese Einstellung führt etwa beim Aufruf von Invoke-WebRequest zum berüchtigten Fehler "Es konnte kein geschützter SSL/TLS-Kanal erstellt werden", wenn die Gegenstelle TLS 1.0 nicht mehr akzeptiert.

Behelfen kann man sich in dieser Situation durch Zuweisen neuerer Protokollversionen:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]'Tls11,Tls12'