我们希望支持使用TLS 1.1和1.2的Web浏览器,这已经由Microsoft显然实现,但是默认情况下是closures的。
于是我在Google上search,发现了一些似乎每个人都在看的页面:
http://support.microsoft.com/kb/245030
http://derek858.blogspot.com/2010/06/enable-tls-12-aes-256-and-sha-256-in.html
然而! 它似乎并没有为我工作。 我为TLS 1.1和1.2设置了DisableDByDefault和Enabled的DWORD值。 我可以确认我的客户端正在尝试与TLS 1.2进行通信,但服务器只响应1.0。 我重新启动了IIS,但并没有改变这种情况。
Microsoft指出:“警告:Protocols项下的registry项中的DisabledByDefault值不会优先于SCHANNEL_CRED结构中包含Schannel凭据的数据所定义的grbitEnabledProtocols值。
那么,这对我来说很模糊。 我找不到SCHANNEL_CRED被定义或设置的任何地方,我可以确定它是在Microsoft库中定义的结构。 这是我唯一的猜测,为什么这不起作用,但我找不到足够的信息来确定这是否是真正的问题。
重启。 Schannel设置的更改在系统重新启动之前不会生效。
对Microsoft SChannel协议和密码(包括密码sorting)进行更改的最简单方法是使用IIS Crypto ,它是一个完全免费的工具,可以在没有任何烦人的注册要求的情况下下载。
该工具操作的封面下的registry项,但它是以一种受控,成熟和安全的方式。 我们经常使用它。
值得注意的是,它可以在自动化场景中提供帮助,因为除了GUI版本之外,它还具有命令行版本。
还有一个博客讨论了一些变化以及为什么这些变化。 在出现SSL问题时,该工具会保持最新状态。
启用TLS 1.1和1.2需要重新启动。 禁用RC4和DH直接不需要重新启动服务器或服务。
如果我没有记错,禁用SSLv2和SSLv3也立即生效。
https://technet.microsoft.com/en-us/library/dn786418.aspx
要启用该协议,请将DWORD值更改为0xffffffff。