Windows系统启用TLS1.2和TLS1.3详解（TLS漏洞修复）

已于 2024-08-26 16:06:06 修改
阅读量1.3k 收藏 29
点赞数 23
分类专栏： 安全维护 文章标签： windows
于 2024-08-26 12:11:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/August_Leaf/article/details/141558225
版权

Windows系统启用TLS1.2和TLS1.3详解（TLS漏洞修复）

前言

公司使用的服务器版本是win server 2022。在公司的安全扫描中，发现TLS漏洞，漏洞描述是说服务器中使用低版本的TLS协议(服务器中默认使用TLS1.0和TLS1.1版本)。经过检索后，发现没有能解决问题的，什么改浏览器设置都是扯淡。因此，总结出TLS协议升级的流程以供参考。
TLS漏洞描述

1.脚本法

启用TLS协议1.2和1.3需要修改注册表，如果不熟悉注册表，可能会修改错误。先给出通过bat脚本启用高本版TLS协议的方法，只需要一个简单的脚本就可以完成设置。亲测有效。

1.1创建bat脚本

创建一个txt文档，输入以下内容：

::65001 代表使用UTF-8编码，避免中文提示乱码
chcp 65001
@echo 正在添加TLS1.2和1.3键(项)......
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server"
@echo 正在添加TLS1.2和1.3值(DWORD)......
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v DisabledByDefault /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client" /v Enabled /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" /v DisabledByDefault /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server" /v Enabled /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v DisabledByDefault /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client" /v Enabled /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server" /v DisabledByDefault /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Server" /v Enabled /t REG_DWORD /d 1 /f
@echo 正在添加TLS1.0和1.1键(项)......
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client"
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server"
@echo 正在禁用1.0和1.1低版本TLS协议......
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client" /v DisabledByDefault /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client" /v Enabled /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" /v DisabledByDefault /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server" /v Enabled /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client" /v DisabledByDefault /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client" /v Enabled /t REG_DWORD /d 0 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" /v DisabledByDefault /t REG_DWORD /d 1 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server" /v Enabled /t REG_DWORD /d 0 /f
@echo TLS配置已完成，请重启电脑，使TLS协议配置生效！！！
pause

说明：该脚本的作用是修改注册表。可以理解为启用TLS1.2和TLS1.3高版本的协议，并设置为默认协议；禁用TLS1.0和TLS1.1版本，不作为默认版本的协议使用。

1.2运行脚本

在txt中添加以上文本后，修改txt文件的后缀。将.txt修改为.bat后缀，然后以管理员身份运行即可。
在这里插入图片描述

1.3重启服务器

修改了TLS协议之后，需要重启服务器才能适用新的修改。运行脚本后，需要重启服务器即可完成修改。

2.分步法步骤详解

本次修复TLS漏洞的方法是通过“通义千问”解答后，经过本人检索bat脚本的用法，然后整理出来的。手动修复TLS协议漏洞，详细解决方法的步骤如下：

2.1通义千问答复

在这里插入图片描述
在这里插入图片描述

2.2打开注册表

在windows菜单下，输入“regedit”打开注册表编辑器：
在这里插入图片描述

2.3创建TLS1.2和TLS1.3注册表

注册表路径：计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
需要进入到注册表\Protocols路径下，创建两个“项”，分别命名为“TLS 1.2”和“TLS 1.3”。
在这里插入图片描述

2.4配置TLS1.2和TLS1.3服务端、客户端

升级TLS协议，需要在TLS1.2和TLS1.3两个项中配置客户端和服务端都启用TLS1.2和TLS1.3。
在新建的两个项"TLS 1.2"和"TLS1.3"中，再新建两个项"Client"和"Server"，表示客户端和服务端通讯都启用"TLS 1.2"和"TLS1.3"协议。
在这里插入图片描述

2.5启用TLS1.2和TLS1.3版本协议

新建两个项"Client"和"Server"后，需要设置客户端和服务端默认都启用TLS1.2和TLS1.3协议通讯。
在"Client"和"Server"两个项中，分别新建一个DWORD(32位)值，名字为"Enabled"，值设置为1。
在这里插入图片描述
在这里插入图片描述
说明：Enabled值设置为1，表示默认启用该协议。

2.6禁用1.0和1.1版本的协议

1.在注册表\Protocols路径下，分别新建两个项，名字为"TLS 1.0"和"TLS 1.1"
2.在"TLS 1.0"和"TLS 1.1"下，再分别新建两个项，名为"Client"和"Server"
在这里插入图片描述
3.在"Client"和"Server"两个项中，新建一个DWORD( 32 位)值，名字设置为"Enabled"，值设置为“0”。
在这里插入图片描述

说明：Enabled值设置为0，表示默认不启用(禁用)该版本TLS协议。

2.7重启服务器

修改了TLS协议之后，需要重启服务器才能适用新的修改。运行脚本后，需要重启服务器即可完成修改。

经过测试之后，TLS漏洞已修复，不再报TLS低版本的漏洞威胁。

参考链接

1.批处理导入注册表及删除键值
2.怎么用bat批处理修改注册表？bat改注册表命令

Mr_叶落飘霜
关注
  • 23
    点赞
  • 踩
  • 29
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
服务器如何启用tlsv1.2协议,Nginx升级到1.13.0并启用TLSv1.3
weixin_42516490的博客
08-13 2780
2017年04月25日发布的nginx 1.13.0支持了TLSv1.3，而TLSv1.3相比之前的TLSv1.2、TLSv1.1等性能大幅提升。所以我迫不及待地将如果你不知道你的系统是啥版本，可以通过下面的几个命令查询 [root@iteblog.com ~]$ cat /etc/issueCentOS release 6.6 (Final)Kernel \r on an \m[root@ite...
windows 启用对TLS1.2和1.3的支持，并禁用对TLS1.0的支持
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
07-24 1万+
TLS1.0的现代实现减轻了这些问题，但是像1.2和1.3这样的TLS的新版本是针对这些缺陷设计的，应该尽可能地使用。PCIDSSv3.2要求在2018年6月30日前完全禁用TLS1.0，但POSPOI终端(以及它们连接的SSL/TLS终端点)除外，这些终端可以被验证为不受任何已知的漏洞的影响。ProfileList文件夹下的每个SID的ProfileImagePath值内，您可以找到所需的SID和其他详细信息。修复建议启用对TLS1.2和1.3的支持，并禁用对TLS1.0的支持。...
xp添加对TLS1.1和TLS1.2的支持
06-06
补丁安装完之后还要重启系统修改注册表等操作,注意看文档
Windows Server 2008 R2 下配置TLS1.2添加自签名证书的图文教程
09-30
主要介绍了Windows Server 2008 R2 下配置TLS1.2添加自签名证书的图文教程，非常不错，具有参考借鉴价值，需要的朋友参考下吧
漏洞修复启用了不安全的TLS1.0、TLS1.1协议
最新发布
Karka_的博客
06-02 531
default_server中才能生效，且其他server块都会读取default_server中的配置。TLS 1.0和TLS1.1协议使用了脆弱的加密算法，存在重大安全漏洞，容易受到降级攻击的严重影响。表示启用TLSv1.2 TLSv1.3 禁用其他TLS协议，注意此配置只能配置在http块或者。启用对TLS 1.2或1.3的支持，并禁用对TLS 1.0和TLS 1.1的支持。nginx修改配置文件。出现下图则表示禁用成功。出现下图则表示禁用失败。
windows server-注册表启动TLS 1.2关闭TLS1.1和TLS1.0
little_startoo的博客
11-14 3767
windows server-注册表启动TLS 1.2关闭TLS1.1和TLS1.0
Win10如何开启TLS1.3
weixin_39796553的博客
03-04 5211
首先Win10需要升级到最新版（20H2OS Build 19042.804）方法：https://www.microsoft.com/zh-cn/software-download/windows10 立即更新，下载Win10更新助手 在控制面板中查找“Internet Options”, 打开后进入"Advanced"选项卡。如果有“Use TLS1.3(experimental)”选项，说明已经支持TLS1.3了 运行regedit，修改注册表 在“Computer\HKEY_LOCAL_M..
OpenSSL 开启 TLS1.3
Network/Storage/Linux Kernel
11-19 1万+
TLS 1.3协议详解：https://blog.csdn.net/mrpre/article/details/81532469   1：github下载 对于的代码 https://github.com/openssl/openssl 2：./config enable-tls1_3 & make & sudo make install   1：若发现 install ...
在Windows服务器上启用TLS 1.2及TLS 1.2基本原理介绍
09-30
最近由于Chrome40不再支持SSL 3.0了，GOOGLE认为SSL3.0已经不再安全了。所以也研究了一下SSL TLS加密,给大家分享一下
win7 启用 TLS1.2
秦秋雨的专栏
06-16 2万+
win7 启用 TLS1.2环境win7 64位 IIS 7.5 SSL证书需求微信小程序发起请求要求是HTTPS，并且TLS版本是1.2或1.2以上版本未配置前的网站TLS 版本的截图解决办法修改注册表将下面内容保存为 reg 后缀的任意名文件，比如:tls12.reg， 然后双击导入到注册表中即可。 也可以手动一项一一项添加。Windows Registry Editor Version 5.0
如何让Nginx快速支持TLS1.3协议详解
09-30
总结，要让Nginx支持TLS 1.3，你需要安装支持TLS 1.3的OpenSSL库，然后编译安装新版本的Nginx，并在Nginx配置文件中启用TLS 1.3和安全的密码套件。最后，记得测试连接以验证配置的有效性。在整个过程中，关注兼容性...
SSL证书查看工具 ，支持TLS1.2
09-25
（1）验证SSL证书并验证证书链中的所有证书是否存在错误 （2）实现证书过期检查。检查证书链中所有证书的证书到期 （3）该工具还会检查证书中是否存在所有可能的重定向URL
XP添加TLS1,1、1.2支持的补丁
08-26
解决XP系统默认不支持TLS1.1和TLS1.2，导致有些https服务无法正常打开的问题。 按照压缩包内文件序号1-3的顺序执行，执行完后重启系统。
nginx-1.16.1-TLS1.3-http2
01-05
**Nginx 1.16.1 with TLS 1.3 and HTTP/2 模块详解** 在当今互联网环境中，安全性和性能是网站服务的关键因素。`nginx-1.16.1-TLS1.3-http2` 是一个特别构建的 Nginx 版本，集成了最新的 TLS 1.3 安全协议和 ...
https启用tls1.2
07-28
请注意，这些步骤是为了在Windows操作系统中启用TLS 1.2协议。\[1\]同时，启用TLS 1.2协议可以提高安全性，因为它使用了ECDHE来增强随机性，并且具有前向安全性。与RSA相比，ECDHE在服务器密钥泄露的情况下更加安全...
http服务（nginx、apache）停用不安全的SSL协议、TLS1.0和TLS1.1协议/启用TLS1.3
西京刀客
02-09 1万+
文章目录一、http服务停用不安全的TLS1.0和TLS1.1协议nginxApacheapache要支持TLS1.2 版本要求工作中遇到问题整理[error] No SSL protocols available [hint: SSLProtocol]apache 版本支持TLS1.3公网环境验证站点正在使用ssl/tls 版本二、关于启用TLS 1.31. 什么是TLS 1.3？2. 如何确定openssl库的最新支持的SSL/TLS版本？三、客户端对ssl/tls支持情况1. curl浏览器四、参考
Win2008 IIS TLS1.0升级到TLS1.2或TLS1.3
歪脖先生的博客
09-10 5234
Win2008 IIS TLS1.0升级到TLS1.2或TLS1.3
在Windows服务器上启用TLS 1.2及TLS 1.2基本原理
热门推荐
04-19 7万+
在Windows服务器上启用TLS 1.2及TLS 1.2基本原理 2015-10-23 17:28 在Windows服务器上启用TLS 1.2及TLS 1.2基本原理   最近由于Chrome40不再支持SSL 3.0了，GOOGLE认为SSL3.0已经不再安全了。所以也研究了一下SSL TLS加密。 首先在这个网站上测试一下自己的服务器究竟处于什么水平。 htt
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值