TLS-Verschlüsselungssammlungen in Windows 10 v1703

Verschlüsselungssammlungen können nur für TLS-Versionen ausgehandelt werden, die diese unterstützen. Die höchste unterstützte TLS-Version wird immer im TLS-Handshake bevorzugt.

Die Verfügbarkeit von Verschlüsselungssammlungen sollte auf zwei Arten gesteuert werden:

  • Die Standardprioritätsreihenfolge wird überschrieben, wenn eine Prioritätsliste konfiguriert ist. Verschlüsselungssammlungen, die nicht in der Prioritätsliste enthalten sind, werden nicht verwendet.
  • Zulässig, wenn die Anwendung SCH _ USE STRONG CRYPTO übergibt: Der Microsoft _ _ Schannel-Anbieter filtert bekannte schwache Verschlüsselungssammlungen heraus, wenn die Anwendung das FLAG SCH _ USE STRONG CRYPTO _ _ verwendet. In Windows 10 Version 1703 werden zusätzlich zu RC4, DES, Export und NULL-Verschlüsselungssammlungen herausgefiltert.

Wichtig

HTTP/2-Webdienste schlagen mit nicht HTTP/2-kompatiblen Verschlüsselungssammlungen fehl. Um sicherzustellen, dass Ihre Webdienste mit HTTP/2-Clients und -Browsern funktionieren, lesen Sie Bereitstellen einer benutzerdefinierten Verschlüsselungssammlungsreihenfolge.

Die FIPS-Konformität wurde komplexer, da die Spalte mit aktivierten FIPS-Modus in früheren Versionen dieser Tabelle durch das Hinzufügen von elliptischen Kurven irreführend wurde. Beispielsweise ist eine Verschlüsselungssammlung wie TLS _ ECDHE _ RSA _ WITH _ AES _ 128 _ CBC _ SHA256 nur FIPS-konform, wenn NIST-Elliptic Curves verwendet werden. Informationen dazu, welche Kombinationen aus elliptischen Kurven und Verschlüsselungssammlungen im FIPS-Modus aktiviert werden, finden Sie im Abschnitt 3.3.1 der Richtlinien für die Auswahl, Konfiguration und Verwendung von TLS-Implementierungen.

Für Windows 10 Version 1703 sind die folgenden Verschlüsselungssammlungen aktiviert und verwenden standardmäßig den Microsoft Schannel-Anbieter in dieser Prioritätsreihenfolge:

Verschlüsselungssammlungszeichenfolge Zulässig durch SCH _ USE _ STRONG _ CRYPTO TLS/SSL-Protokollversionen
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 256 _ GCM _ SHA384
Ja
TLS 1.2
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 128 _ GCM _ SHA256
Ja
TLS 1.2
TLS _ ECDHE _ RSA MIT _ _ AES _ 256 _ GCM _ SHA384
Ja
TLS 1.2
TLS _ ECDHE _ RSA MIT _ _ AES _ 128 _ GCM _ SHA256
Ja
TLS 1.2
TLS _ DHE _ RSA MIT _ _ AES _ 256 _ GCM _ SHA384
Ja
TLS 1.2
TLS _ DHE _ RSA MIT _ _ AES _ 128 _ GCM _ SHA256
Ja
TLS 1.2
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 256 _ CBC _ SHA384
Ja
TLS 1.2
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 128 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ ECDHE _ RSA MIT _ _ AES _ 256 _ CBC _ SHA384
Ja
TLS 1.2
TLS _ ECDHE _ RSA MIT _ _ AES _ 128 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 256 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ ECDHE _ ECDSA _ MIT _ AES _ 128 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ ECDHE _ RSA MIT _ _ AES _ 256 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ ECDHE _ RSA MIT _ _ AES _ 128 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ RSA _ MIT _ AES _ 256 _ GCM _ SHA384
Ja
TLS 1.2
TLS _ RSA _ MIT _ AES _ 128 _ GCM _ SHA256
Ja
TLS 1.2
TLS _ RSA _ MIT _ AES _ 256 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ RSA _ MIT _ AES _ 128 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ RSA _ MIT _ AES _ 256 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ RSA _ MIT _ AES _ 128 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ RSA _ MIT _ 3DES _ EDE _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ RSA _ MIT _ RC4 _ 128 _ SHA
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA _ MIT _ RC4 _ 128 _ MD5
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA MIT NULL _ _ _ SHA256
Wird nur verwendet, wenn die Anwendung explizit anfordert.
Nein
TLS 1.2
TLS _ RSA MIT NULL _ _ _ SHA
Wird nur verwendet, wenn die Anwendung explizit anfordert.
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0

Die folgenden Verschlüsselungssammlungen werden vom Microsoft Schannel-Anbieter unterstützt, sind jedoch nicht standardmäßig aktiviert:

Verschlüsselungssammlungszeichenfolge Zulässig durch SCH _ USE _ STRONG _ CRYPTO TLS/SSL-Protokollversionen
TLS _ DHE _ RSA MIT _ _ AES _ 256 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ DHE _ RSA MIT _ _ AES _ 128 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ DHE _ DSS _ MIT _ AES _ 256 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ DHE _ DSS _ MIT _ AES _ 128 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ DHE _ DSS _ MIT _ AES _ 256 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ DHE _ DSS _ MIT _ AES _ 128 _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0
TLS _ DHE _ DSS _ MIT _ 3DES _ EDE _ CBC _ SHA
Ja
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA MIT DES _ _ _ CBC _ SHA
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ DHE _ DSS _ MIT DES _ _ CBC _ SHA
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ DHE _ DSS _ EXPORT1024 _ WITH DES _ _ CBC SHA No TLS _ 1.2, TLS 1.1, TLS 1.0, SSL 3.0
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA MIT NULL _ _ _ MD5
Wird nur verwendet, wenn die Anwendung explizit anforderungen.
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA _ EXPORT1024 _ MIT _ RC4 _ 56 _ SHA
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA _ EXPORT _ WITH _ RC4 _ 40 _ MD5
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0
TLS _ RSA _ EXPORT1024 _ MIT DES _ _ CBC _ SHA
Nein
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0

Die folgenden PSK-Verschlüsselungssammlungen sind mithilfe des Microsoft Schannel-Anbieters standardmäßig in dieser Prioritäts reihenfolge aktiviert:

Verschlüsselungssammlungszeichenfolge Zulässig durch SCH _ USE _ STRONG _ CRYPTO TLS/SSL-Protokollversionen
TLS _ PSK _ MIT _ AES _ 256 _ GCM _ SHA384
Ja
TLS 1.2
TLS _ PSK _ MIT _ AES _ 128 _ GCM _ SHA256
Ja
TLS 1.2
TLS _ PSK _ MIT _ AES _ 256 _ CBC _ SHA384
Ja
TLS 1.2
TLS _ PSK _ MIT _ AES _ 128 _ CBC _ SHA256
Ja
TLS 1.2
TLS _ PSK _ MIT NULL _ _ SHA384
Nein
TLS 1.2
TLS _ PSK _ MIT NULL _ _ SHA256
Nein
TLS 1.2

Hinweis

Standardmäßig sind keine PSK-Verschlüsselungssammlungen aktiviert. Anwendungen müssen PSK mit SCH _ USE _ PRESHAREDKEY _ ONLY anfordern. Weitere Informationen zu Schannel-Flags finden Sie unter SCHANNEL _ CRED.

Um Verschlüsselungssammlungen hinzuzufügen, stellen Sie entweder eine Gruppenrichtlinie oder die TLS-Cmdlets zur Verfügung:

  • Um gruppenrichtlinien zu verwenden, konfigurieren Sie die Reihenfolge der SSL-Verschlüsselungssammlung unter Computerkonfiguration > Administrative Vorlagen > Netzwerk > SSL-Konfiguration Einstellungen mit der Prioritätsliste für alle Verschlüsselungssammlungen, die Sie aktivieren möchten.
  • Informationen zur Verwendung von PowerShell finden Sie unter TLS-Cmdlets.

Hinweis

Vor der Windows 10 wurden Verschlüsselungssammlungszeichenfolgen mit der elliptischen Kurve angefügt, um die Kurvenpriorität zu bestimmen. Windows 10 unterstützt eine Einstellung für die Reihenfolge der Elliptic Curve-Priorität, sodass das Elliptic Curve-Suffix nicht erforderlich ist und durch die neue Reihenfolge der Elliptic Curve-Priorität außer Kraft gesetzt wird, sofern angegeben, damit Organisationen gruppenrichtlinien verwenden können, um verschiedene Versionen von Windows mit den gleichen Verschlüsselungssammlungen zu konfigurieren.