O Windows Server 2008 R2 parece oferecer suporte ao TLS 1.1 e 1.2, mas eles estão desabilitados por padrão.
Por que eles estão desativados por padrão?
Eles têm alguma desvantagem?
17
O Windows Server 2008 R2 parece oferecer suporte ao TLS 1.1 e 1.2, mas eles estão desabilitados por padrão.
Por que eles estão desativados por padrão?
Eles têm alguma desvantagem?
O Server 2008 R2 / Windows 7 introduziu o suporte TLS 1.1 e TLS 1.2 ao Windows e foi lançado antes dos ataques que tornavam o TLS 1.0 vulnerável. Portanto, provavelmente é apenas uma questão de o TLS 1.0 ser o padrão, porque era a versão TLS mais usada. no momento em que o Server 2008 R2 foi lançado (julho de 2009).
Não sabe ao certo como saberia com certeza ou descubra "por que" uma decisão de design foi tomada, mas, como o Windows 7 e o Server 2008 R2 introduziram o recurso na família Windows, o Windows Server 2012 usa o TLS 1.2 por padrão. parece sugerir que era uma questão de "como as coisas eram feitas" na época. O TLS 1.0 ainda era "bom o suficiente", portanto era o padrão, mas o TLS 1.1 e 1.2 eram suportados para suporte e operacionalidade avançada.
Este blog tecnológico de um funcionário da Microsoft recomenda ativar as versões mais recentes do TLS e também observa que (em outubro de 2011):
Entre os servidores Web novamente, o IIS 7.5 é o único que suporta o TLS 1.1 e o TLS 1.2. A partir de agora, o Apache não suporta esses protocolos, pois o OPENSSL não inclui suporte para eles. Felizmente, eles alcançarão os novos padrões do setor.
Isso apóia ainda mais a idéia de que as versões mais recentes do TLS não foram ativadas por padrão no Server 2008 R2 pelo simples motivo de serem mais novas e pouco suportadas ou usadas no momento - o Apache e o OpenSSL ainda nem as suportavam , muito menos. use-os como padrão.
Detalhes sobre como ativar e desativar com precisão as várias versões SSL / TLS podem ser encontrados no artigoHow to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll da Microsoft KB número 245030, intitulado . Obviamente, as Clientchaves controlam o Internet Explorer e as Serverchaves cobrem o IIS.
Eu mesmo estava pensando isso ... talvez apenas devido a problemas de compatibilidade conhecidos na época ... Encontrei esta entrada de blog do MSDN (de 24 de março de 2011):
Ele fala sobre alguns servidores da Web "comportando-se" da maneira que respondem a solicitações de protocolo não suportadas, o que fez com que o cliente não se recuperasse de um protocolo suportado, com o resultado final sendo que os usuários não conseguem acessar o (s) site (s).
Citando parte dessa entrada do blog aqui:
O servidor não deve se comportar dessa maneira; espera-se que ele simplesmente responda usando a versão mais recente do protocolo HTTPS que ele suporta (por exemplo, "3.1", também conhecido como TLS 1.0). Agora, se o servidor tivesse fechado a conexão normalmente neste momento, seria tudo bem - o código no WinINET faria o fallback e tentaria novamente a conexão, oferecendo apenas o TLS 1.0.O WinINET inclui um código como o TLS1.1 e 1.2 no TLS1.0, o SSL3 (se ativado) e o SSL2 (se ativado). A desvantagem do fallback é o desempenho - as viagens extras de ida e volta necessárias para o novo handshake com versão inferior geralmente resultam em uma penalidade no valor de dezenas ou centenas de milissegundos.
No entanto, este servidor usou um TCP / IP RST para interromper a conexão, o que desabilita o código de fallback no WinINET e faz com que toda a sequência de conexões seja abandonada, deixando o usuário com a mensagem de erro "O Internet Explorer não pode exibir a página da Web".