在Windows Server 2016中启用SSL3

Question

我们有一个需要在Windows Server 2016上启用SSL3的应用。该服务器是内部的，没有公共访问权限。

我遵循了Microsoft的步骤：https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings#ssl-30

除非我将启用设置为1，但是服务器仍然不接受SSL3连接。

有什么我想念的吗？

谢谢

Answer 1

显然这是一个糟糕的主意，但是如果您绝对必须使用服务器'16上的SSL v3进行某些操作，那么您将需要修改其他SChannel设置以启用旧的密码/密码套件/哈希/密钥交换并启用sslv3协议本身。

所有SChannel设置都在HKLM\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\下的键中进行配置。有很多关于在Server 2003和2008上保护SSLv3的指南-可以肯定的是注册表路径是不变的-但是我不确定服务器2016是否会实际支持上述要求的组合（我猜它仍然存在并且被禁用）。根据您的系统的年龄，您应该能够确定可能支持的配置。另外，似乎认为某些schannel子键上有一个名为DisableByDefault和Enabled的值。

免责声明-这是一个可怕的想法-许多Windows服务都使用SChannel，并且您建议的配置使整个服务器面临不必要的风险（例如Powershell远程处理和RDP也依赖于SChannel）。

您应该考虑的几件事...

• 通过削弱服务器端，是否还需要更改客户端以允许其他系统（或更糟糕的是实际的台式机和笔记本电脑）建立连接？
• 仅因为您的内部网络中存在某些东西，所以不要以为它无法受到攻击（通过被入侵的WIFI或恶意软件等）。确保其位于DMZ / VLAN /防火墙（入站和出站）中，以便您可以严格控制访问并降低风险。
• 我假设不需要SSLV3的任何东西都是无法维护的，也许可以使用某种描述的代理来卸载SSL entirley或充当“中间人”并解密/重新加密从SSLv3到TLS的流量。