Säkerhet för transportlager i Azure Backup

  • Artikel

TLS (Transport Layer Security) är ett krypteringsprotokoll som skyddar data när de överförs över ett nätverk. Azure Backup använder säkerhet på transportnivå för att skydda sekretessen för säkerhetskopierade data som överförs. Den här artikeln beskriver steg för att aktivera TLS 1.2-protokollet, vilket ger bättre säkerhet jämfört med tidigare versioner.

Tidigare versioner av Windows

Om datorn kör tidigare versioner av Windows måste motsvarande uppdateringar som anges nedan installeras och registerändringarna som dokumenteras i KB-artiklarna måste tillämpas.

Operativsystem KB-artikel
Windows Server 2008 SP2 https://support.microsoft.com/help/4019276
Windows Server 2008 R2, Windows 7, Windows Server 2012 https://support.microsoft.com/help/3140245

Anteckning

Uppdateringen installerar de protokollkomponenter som krävs. Efter installationen måste du göra de ändringar av registernyckeln som nämns i KB-artiklarna ovan för att aktivera de protokoll som krävs korrekt.

Verifiera Windows-registret

Konfigurera SChannel-protokoll

Följande registernycklar ser till att TLS 1.2-protokollet är aktiverat på komponentnivån SChannel:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
    "DisabledByDefault"=dword:00000000

Anteckning

Värdena som visas anges som standard i Windows Server 2012 R2 och senare versioner. Om registernycklarna saknas för dessa versioner av Windows behöver de inte skapas.

Konfigurera .NET Framework

Följande registernycklar konfigurerar .NET Framework för att stödja stark kryptografi. Du kan läsa mer om hur du konfigurerar .NET Framework här.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
    "SystemDefaultTlsVersions"=dword:00000001
    "SchUseStrongCrypto" = dword:00000001

Ändringar av Azure TLS-certifikat

Azure TLS/SSL-slutpunkter innehåller nu uppdaterade certifikat som kedjar ihop till nya rotcertifikatutfärdare. Se till att följande ändringar inkluderar de uppdaterade rotcertifikatutfärdarna. Läs mer om möjliga effekter på dina program.

Tidigare var de flesta TLS-certifikaten, som används av Azure-tjänster, länkade till följande rotcertifikatutfärdare:

Eget namn på CA Tumavtryck (SHA1)
Baltimore CyberTrust Root d4de20d05e66fc53fe1a50882c78db2852cae474

Nu hjälper TLS-certifikat, som används av Azure-tjänster, att kedja upp till någon av följande rotcertifikatutfärdare:

Eget namn på CA Tumavtryck (SHA1)
DigiCert Global Root G2 df3c24f9bfd666761b268073fe06d1cc8d4f82a4
DgiCert global rotcertifikatutfärdare a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436
Baltimore CyberTrust Root d4de20d05e66fc53fe1a50882c78db2852cae474
D-TRUST Root Class 3 CA 2 2009 58e8abb0361533fb80f79b1b6d29d3ff8d5f00f0
Microsoft RSA Root Certificate Authority 2017 73a5e64a3bff8316ff0edccc618a906e4eae4d74
Microsoft ECC Root Certificate Authority 2017 999a64c37ff47d9fab95f14769891460eec4c3c5

Vanliga frågor och svar

Varför aktivera TLS 1.2?

TLS 1.2 är säkrare än tidigare kryptografiska protokoll som SSL 2.0, SSL 3.0, TLS 1.0 och TLS 1.1. Azure Backup tjänster har redan fullt stöd för TLS 1.2.

Vad avgör vilket krypteringsprotokoll som används?

Den högsta protokollversion som stöds av både klienten och servern förhandlas för att upprätta den krypterade konversationen. Mer information om TLS-handskakningsprotokollet finns i Upprätta en säker session med hjälp av TLS.

Vad är effekten av att inte aktivera TLS 1.2?

För förbättrad säkerhet från protokollnedgraderingsattacker börjar Azure Backup inaktivera TLS-versioner som är äldre än 1.2 stegvis. Detta är en del av en långsiktig förändring mellan tjänster för att neka äldre protokoll- och chiffersvitanslutningar. Azure Backup tjänster och komponenter har fullt stöd för TLS 1.2. Windows-versioner som saknar nödvändiga uppdateringar eller vissa anpassade konfigurationer kan dock fortfarande förhindra att TLS 1.2-protokoll erbjuds. Detta kan orsaka fel, inklusive men inte begränsat till ett eller flera av följande:

  • Säkerhetskopierings- och återställningsåtgärder kan misslyckas.
  • Säkerhetskopieringskomponenterna ansluter fel med fel 10054 (En befintlig anslutning stängdes av fjärrvärden).
  • Tjänster som är relaterade till Azure Backup stoppas eller startas inte som vanligt.

Ytterligare resurser