Atténuation : protocoles TLS

  • Article

Depuis .NET Framework 4.6, les classes System.Net.ServicePointManager et System.Net.Security.SslStream peuvent utiliser l’un des trois protocoles suivants : Tls1.0, Tls1.1 ou Tls 1.2. Le protocole SSL 3.0 et le chiffrement RC4 ne sont pas pris en charge.

Impact

Cette modification affecte :

  • Toutes les applications qui utilisent SSL pour communiquer avec un serveur HTTPS ou un serveur socket à l'aide de l'un des types suivants : HttpClient, HttpWebRequest, FtpWebRequest, SmtpClient et SslStream.

  • Toutes les applications côté serveur ne peuvent pas être mises à niveau pour prendre en charge Tls1.0, Tls1.1 ou Tls 1.2.

Limitation des risques

L’atténuation recommandée consiste à mettre à niveau l’application côté serveur vers Tls1.0, Tls1.1 ou Tls 1.2. Si ce n'est pas possible, ou si les applications clientes sont interrompues, la classe AppContext peut être utilisée pour désactiver cette fonctionnalité de deux manières :

  • Par programmation, à l'aide d'un extrait de code comme suit :

    const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching";
const string DontEnableSchUseStrongCryptoName = @"Switch.System.Net.DontEnableSchUseStrongCrypto";
AppContext.SetSwitch(DisableCachingName, true);
AppContext.SetSwitch(DontEnableSchUseStrongCryptoName, true);

    Const DisableCachingName As String = "TestSwitch.LocalAppContext.DisableCaching"
Const DontEnableSchUseStrongCryptoName As String = "Switch.System.Net.DontEnableSchUseStrongCrypto"
AppContext.SetSwitch(DisableCachingName, True)
AppContext.SetSwitch(DontEnableSchUseStrongCryptoName, True)

    Comme l'objet ServicePointManager est initialisé une seule fois, la définition de ces paramètres de compatibilité doit être la première chose que fait l'application.

  • Pour ce faire, ajoutez la ligne suivante à la section <runtime> de votre fichier app.config :

    <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=true"/>

Notez, toutefois, que le refus du comportement par défaut n'est pas recommandé, car ce choix rend l'application moins sécurisée.

Voir aussi