Комплекты шифров TLS в Windows 10 версии 1903, 1909 и 2004
Комплекты шифров можно согласовать только для версий TLS, которые их поддерживают. В подтверждении TLS всегда рекомендуется использовать самую высокую поддерживаемую версию TLS.
Доступность комплектов шифров должна контролироваться одним из двух способов:
- Порядок приоритета по умолчанию переопределяется при настройке списка приоритетов. Комплекты шифров, отсутствуют в списке приоритетов, не будут использоваться.
- Разрешено, когда приложение проходит SCH_USE_STRONG_CRYPTO. Поставщик Microsoft Schannel отфильтрует известные наборы слабых шифров, когда приложение использует флаг SCH_USE_STRONG_CRYPTO. Комплекты шифров RC4, DES, export и null отфильтровываются.
Важно!
Веб-службы HTTP/2 завершаются сбоем при использовании комплектов шифров, не совместимых с HTTP/2. Сведения о том, как обеспечить работу веб-служб с помощью клиентов и браузеров HTTP/2, см. в статье Развертывание упорядочения наборов пользовательских шифров.
Соответствие FIPS стало более сложным благодаря добавлению эллиптических кривых, которые вводят в заблуждение столбец режима FIPS в предыдущих версиях этой таблицы. Например, набор шифров, такой как TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256, является fiPS-совместимым только при использовании эллиптических кривых NIST. Сведения о том, какие сочетания эллиптических кривых и комплектов шифров будут включены в режиме FIPS, см. в разделе 3.3.1 руководства по выбору, настройке и использованию реализаций TLS.
Для Windows 10 версии 1903, 1909 и 2004 следующие комплекты шифров включены и в этом порядке приоритета по умолчанию с помощью поставщика Microsoft Schannel:
Строка набора шифров | Разрешено SCH_USE_STRONG_CRYPTO | Версии протокола TLS/SSL |
---|---|---|
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 |
Да |
TLS 1.2 |
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 |
Да |
TLS 1.2 |
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
Да |
TLS 1.2 |
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
Да |
TLS 1.2 |
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 |
Нет |
TLS 1.2 |
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 |
Да |
TLS 1.2 |
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 |
Да |
TLS 1.2 |
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
Да |
TLS 1.2 |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_RSA_WITH_AES_256_GCM_SHA384 |
Да |
TLS 1.2 |
TLS_RSA_WITH_AES_128_GCM_SHA256 |
Да |
TLS 1.2 |
TLS_RSA_WITH_AES_256_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_RSA_WITH_AES_128_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_RSA_WITH_AES_256_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_RSA_WITH_AES_128_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_RSA_WITH_3DES_EDE_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_RSA_WITH_NULL_SHA256 Используется только при явном запросе приложения. |
Нет |
TLS 1.2 |
TLS_RSA_WITH_NULL_SHA Используется только при явном запросе приложения. |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
Следующие комплекты шифров поддерживаются поставщиком Microsoft Schannel, но не включены по умолчанию:
Строка набора шифров | Разрешено SCH_USE_STRONG_CRYPTO | Версии протокола TLS/SSL |
---|---|---|
TLS_DHE_RSA_WITH_AES_256_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_DHE_RSA_WITH_AES_128_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_DHE_DSS_WITH_AES_256_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_DHE_DSS_WITH_AES_128_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0 |
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA |
Да |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_WITH_RC4_128_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_WITH_RC4_128_MD5 |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_WITH_DES_CBC_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_DHE_DSS_WITH_DES_CBC_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_WITH_NULL_MD5 Используется только при явном запросе приложения. |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_EXPORT1024_WITH_RC4_56_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_EXPORT_WITH_RC4_40_MD5 |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA |
Нет |
TLS 1.2, TLS 1.1, TLS 1.0, SSL 3.0 |
Следующие наборы шифров PSK включены и в этом порядке приоритета по умолчанию с помощью поставщика Microsoft Schannel:
Строка набора шифров | Разрешено SCH_USE_STRONG_CRYPTO | Версии протокола TLS/SSL |
---|---|---|
TLS_PSK_WITH_AES_256_GCM_SHA384 |
Да |
TLS 1.2 |
TLS_PSK_WITH_AES_128_GCM_SHA256 |
Да |
TLS 1.2 |
TLS_PSK_WITH_AES_256_CBC_SHA384 |
Да |
TLS 1.2 |
TLS_PSK_WITH_AES_128_CBC_SHA256 |
Да |
TLS 1.2 |
TLS_PSK_WITH_NULL_SHA384 |
Нет |
TLS 1.2 |
TLS_PSK_WITH_NULL_SHA256 |
Нет |
TLS 1.2 |
Примечание
Наборы шифров PSK не включены по умолчанию. Приложения должны запрашивать PSK с помощью SCH_USE_PRESHAREDKEY_ONLY. Дополнительные сведения о флагах Schannel см. в разделе SCHANNEL_CRED.
Чтобы добавить комплекты шифров, разверните групповую политику или используйте командлеты TLS:
- Чтобы использовать групповую политику, настройте порядок комплектов шифров SSL в разделе Конфигурация > компьютера Административные шаблоны > Параметры конфигурации сетевого > SSL со списком приоритетов для всех наборов шифров, которые нужно включить.
- Сведения об использовании PowerShell см. в разделе Командлеты TLS.
Примечание
До Windows 10 строки набора шифров добавлялись с помощью эллиптической кривой, чтобы определить приоритет кривой. Windows 10 поддерживает настройку порядка приоритета эллиптических кривых, поэтому суффикс эллиптической кривой не требуется и переопределяется новым порядком приоритета эллиптических кривых, если он указан, чтобы разрешить организациям использовать групповую политику для настройки разных версий Windows с одинаковыми комплектами шифров.
Обратная связь
https://aka.ms/ContentUserFeedback.
Ожидается в ближайшее время: в течение 2024 года мы постепенно откажемся от GitHub Issues как механизма обратной связи для контента и заменим его новой системой обратной связи. Дополнительные сведения см. в разделеОтправить и просмотреть отзыв по