Microsoft готовится отключить TLS 1.0 и TLS 1.1 в Windows

Microsoft собирается отключить протокол защиты транспортного уровня (Transport Layer Security, TLS) устаревших версий 1.0 и 1.1 в Windows. Об этом компания объявила на своем сайте Tech Community 1 августа 2023 года.

TLS 1.0 появился в 1999 году, а TLS 1.1 — в 2006. В 2020 году оба протокола были признаны устаревшим. Их превзошли более новые версии TLS 1.2 и TLS 1.3.

Согласно Microsoft, в старых версиях протокола были обнаружены проблемы с безопасностью, и «в ответ на это органы, отвечающие за интернет-стандарты и регулирование, отказались от использования TLS версий 1.0 и 1.1». За прошедшие несколько лет использование TLS 1.0 и 1.1 значительно сократилось, и, по мнению Microsoft, настало время отключить эти два протокола.

С точки зрения Microsoft, отключение этих протоколов повысит безопасность Windows и ее пользователей, а также ускорит переход на новые версии протоколов.

В сентябре 2023 года Microsoft планирует отключить TLS 1.0 и TLS 1.1 сначала в предварительных сборках Windows Insider для Windows 11. Затем эти протоколы будут отключены и в «будущих выпусках ОС Windows». Компания при этом не уточняет, будут ли эти протоколы отключены только в системах Windows 11 или изменения также коснутся Windows 10. Это кажется очень вероятным, тем более что сообщение Tech Community помечено тегами Windows 10 и Windows 11.

Проверка ошибок TLS 1.0 и TLS 1.1 в Windows

Администраторы могут проверить журнал событий Windows, чтобы определить, требуют ли установленные приложения использования TLS 1.0 или TLS 1.1. Для этого администраторам необходимо найти в журнале событий Windows событие с идентификатором 36871. Пример сообщения об ошибке опубликован Microsoft:

Произошла неустранимая ошибка при создании учетных данных TLS <client/server>. Внутреннее состояние ошибки: 10013. Клиентский процесс SSPI - <идентификатор процесса>.

Как отмечает Microsoft, следующие приложения могут перестать работать в Windows 11 и Windows 10 из-за скорого отключения поддержки протоколов TLS 1.0 и TLS 1.1:

• Safari - 5.1.7
• EVault Data Protection - 7.01.6125
• SQL - 2012, 2014, 2016
• SQL Server - 2014, 2016
• Turbo Tax - 2017, 2014, 2011, 2012, 2016, 2015, 2018
• BlueStacks 3 - 5.10.0.6513
• BlueStacks X - 0.21.0.1063
• Xbox One SmartGlass - 2.2.1702.2004
• Splice - 4.0.35686, 4.2.4
• Driver Support - 10.1.2.41, 10.1.4.20
• K7 Enterprise Security - 4.1.0.116
• DRUKI Gofin - 3.17.63.0
• Project Plan 365 - 23.8.1204.14137
• vWorkspace - 8.6.1
• ARMA 3
• Microsoft Office 2008 Professional - Accounting Express
• LANGuard - 12.7.2022.0406
• Adguard - 6.4.1814.4903, 7.12.41.70.0
• CCB Security Client - 3.3.8.4
• ArcGIS - 10.3.3400
• ACDSee Photo Studio – 2018, 2023
• Blio e-Reader - 3.4.0.9728, 3.4.1.9759

Клиенты смогут по-прежнему включить TLS 1.0 и 1.1 в своей установке, чтобы сохранить совместимость со старым программным обеспечением, но это должно рассматриваться только как временное решение. Microsoft подчеркивает, что использование устаревших версий TLS должно быть лишь временным, и поставщики должны переходить к поддержке более новых версий, так как TLS 1.0 и 1.1 могут быть полностью удалены из ОС в будущем.

Повторное включение TLS 1.0 и TLS 1.1 в Windows

Администраторы Windows могут повторно активировать поддержку TLS 1.0 и/или TLS 1.1 после отключения протоколов со стороны Microsoft. Это может потребоваться, если необходимые приложения полагаются на эти протоколы. Microsoft провела тесты, чтобы выяснить, какие широко используемые приложения используют эти протоколы. В список вошли SQL Server 2014 и 2016, Turbo Tax до версии 2018 и ACDSee Photo Studio версии 2023.

Для переопределения значения по умолчанию необходимо отредактировать реестр Windows:

• Перейдите по пути: HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\
• Выберите раздел с нужной версией протокола, например TLS 1.0\Client
• Создайте Параметр DWORD (32-бита) с названием Enabled и значением равным 1.

Обратите внимание, что существуют пути Client и Server. Дополнительную информацию о включении протоколов можно найти в статье поддержки Microsoft о настройках TLS в реестре.

Большинство обычных пользователей отключение устаревших протоколов TLS не коснется. Администраторы, возможно, захотят проверить журнал событий после внесения изменений с целью выяснить, требуются ли устаревшие протоколы определенным приложениям, чтобы отреагировать соответствующим образом.