ฉันได้ตรวจสอบเรื่องนี้เป็นเวลาสองสามวันแล้วเนื่องจากเราต้องปฏิบัติตาม PCI-DSS 3.1 ซึ่งต้องปิดการใช้งาน TLS 1.0
เราไม่ต้องการถอยกลับไปใช้ RDP Security Layer ซึ่งเป็นข้อกังวลด้านความปลอดภัยที่สำคัญ
ในที่สุดฉันก็สามารถค้นหาเอกสารบางอย่างที่ยืนยันว่า RDP สนับสนุน TLS 1.1 และ TLS 1.2 เอกสารนี้จะซ่อนอยู่ในการเข้าสู่ระบบ SChannelและกำหนดรายละเอียดมากสำหรับ RDP
มีเอกสารกระแสหลักที่ขาดหายไปอย่างสมบูรณ์ใน Technet หรือไซต์ Microsoft อื่น ๆ ที่ดูเหมือนว่าหวังว่าการทำเอกสารที่นี่จะช่วยให้บางคน
สารสกัดที่เกี่ยวข้องจากลิงก์ที่ให้ไว้:
จากลิงก์ MSDN:
"RDP supports four External Security Protocols: TLS 1.0 ([RFC2246]) TLS 1.1 ([RFC4346])<39>, TLS 1.2 ([RFC5246])<40>"
จากข้อกำหนด RDP PDF:
"When Enhanced RDP Security is used, RDP traffic is no longer protected by using the techniques
described in section 5.3. Instead, all security operations (such as encryption and decryption, data
integrity checks, and Server Authentication) are implemented by one of the following External
Security Protocols:
TLS 1.0 (see [RFC2246])
TLS 1.1 (see [RFC4346])
TLS 1.2 (see [RFC5246])
CredSSP (see [MS-CSSP])"
"<39> Section 5.4.5: TLS 1.1 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista and Windows Server 2008.
<40> Section 5.4.5: TLS 1.2 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista, and Windows Server 2008"
ดังนั้นจะสรุปได้ว่าคุณสามารถใช้ TLS 1.1 หรือ 1.2 บน Windows Server 2008 R2 ตามเอกสารนี้
อย่างไรก็ตามการทดสอบของเราได้พิสูจน์แล้วว่าไม่ได้ใช้งานได้จากไคลเอนต์ Windows 7 RDP (เวอร์ชั่น 6.3.9600) เมื่อปิดใช้งาน TLS 1.0 และตัวเลือกความปลอดภัย RDP ถูกตั้งค่าให้ต้องใช้ TLS 1.0
นี้เป็นหลักสูตรเช่นเดียวกับการเปิดใช้งาน TLS 1.1 และ 1.2 ซึ่งถูกปิดโดยเริ่มต้นใน 2008R2 - บังเอิญเราทำเช่นนี้โดยใช้ประโยชน์มากเครื่องมือ IIS Crypto จาก Nartac ซอฟแวร์
เมื่อดูที่ปัญหานี้จะเป็นประโยชน์ในการเปิดใช้งานการบันทึก SChannel เพื่อดูรายละเอียดเพิ่มเติมว่าเกิดอะไรขึ้นเมื่อเปิดเซสชันของคุณ
คุณสามารถตั้งค่าการบันทึก SChannel ได้โดยการเปลี่ยนคีย์ HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ EventLogging key เป็น 5 และรีบูตเครื่อง
เมื่อดำเนินการเสร็จแล้วคุณสามารถสังเกตเห็นเหตุการณ์ SChannel ซึ่งแสดงเวอร์ชัน TLS ที่ใช้เมื่อทำการเชื่อมต่อ RDP เมื่อเปิดใช้งานการบันทึกคุณสามารถสังเกตเห็นข้อผิดพลาด SChannel เมื่อไคลเอนต์ RDP พยายามสร้างการเชื่อมต่อบน Windows 2008 R2 โดยปิดใช้งาน TLS 1.0:
A fatal error occurred while creating an SSL server credential. The internal error state is 10013.
ฉันได้ทดสอบการปิดใช้งาน TLS 1.0 บน Windows Server 2012 และ 2012 R2 ซึ่งฉันสามารถยืนยันได้ว่าทำงานได้อย่างสมบูรณ์โดยใช้ไคลเอนต์ Windows 7 RDP รายการบันทึก SChannel แสดงการใช้ TLS 1.2:
An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.
Protocol: TLS 1.2
CipherSuite: 0xC028
Exchange strength: 256
ฉันหวังว่านี่จะช่วยให้คนที่กำลังมองหาการชี้แจงในเรื่องนี้
ฉันจะค้นหาวิธีที่เราจะให้ RDP ทำงานบน TLS 1.1 และ TLS 1.2 ใน Windows Server 2008 R2 ต่อไป
อัปเดต: 2015-AUG-05
เรายกปัญหาของ RDP ที่ไม่ทำงานกับ Server 2008 R2 ด้วยการสนับสนุนของ Microsoft รวมถึงขั้นตอนในการทำซ้ำ
หลังจากผ่านไปหลายสัปดาห์ไปข้างหน้าและต่อมาเราได้รับโทรศัพท์วันนี้จากทีมสนับสนุนเพื่อรับทราบว่าพวกเขาสามารถทำซ้ำได้และตอนนี้จัดเป็นข้อผิดพลาด จะมีการเปิดตัวอัปเดตการอัปเดตในเวลานี้คาดว่าจะเกิดขึ้นในเดือนตุลาคม 2558 ทันทีที่ฉันมีบทความ KB หรือรายละเอียดอื่น ๆ ฉันจะเพิ่มพวกเขาในโพสต์นี้
หวังว่าผู้ที่ติดอยู่กับ Windows Server 2008 R2 จะสามารถแก้ไขปัญหานี้ได้อย่างน้อยก่อนถึงเส้นตายของเดือนมิถุนายน 2559 เมื่อแพทช์เปิดตัว
อัปเดต: 19 กันยายน 2558
ในที่สุดไมโครซอฟท์ได้เผยแพร่บทความสนับสนุน kb เกี่ยวกับเรื่องนี้ที่นี่และฉันสามารถยืนยันได้ว่าทำงานได้ดี