Wie kann ich unsichere Verschlüsselungen unter Windows abschalten?

Windows stellt in der Regel auf vielen Systemen nach wie vor Verschlüsselungen zur Verfügung, welche mittlerweile in die Jahre gekommen sind und viele bekannte Schwachstellen aufweisen.

Mit heutigem Stand wären hier z.B. SSL 1.0, 2.0 und 3.0 bzw. TLS 1.0 zu nennen.

Aus diesem Grund ist es - vor allem auf Windows Servern, welche Dienste über das Internet zur Verfügung stellen - sinnvoll, diese Protokolle unter Windows vollständig abzuschalten. Neben vielen publizierten Wegen hat sich für uns der Weg über Registry-Importe als der einfachste dargestellt.

Um sowohl für die Nutzung als "Client" als auch für die Nutzung als "Server" die Verschlüsselungen entsprechend zu deaktivieren, können die beiden nachfolgende Textzeilen in eine Datei *.reg kopiert und danach über einen einfachen Doppelklick in die Registry des Rechners aufgenommen werden. Nach einem Neustart des Systems sind dann die entsprechenden Verschlüsselungen für den jeweiligen Rechner sowohl im Client- als auch im Server-Betrieb zuverlässig deaktiviert.

Deaktivierung SSL 2.0:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

Deaktivierung TLS 1.0

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001
"Enabled"=dword:00000000

Wichtig:

Selbstverständlich übernehmen wir keinerlei Gewähr dafür, das die vorstehend beschriebenen Schritte Problemlos von Statten gehen. Wie immer bei Bearbeitung der Windows-Registry ist ein Backup und ein daraus abgeleiteter Desaster-Recovery-Plan zwingend erforderlich und obliegt dem in dieser Angelegenheit handelnden.

PS:

Selbstverständlich möchte man auch gerne wissen, ob die Maßnahmen von Erfolg gekrönt sind. Ich habe für diesen Zweck am heutigen (02.08.2018) Tage meinen eigenen Server über den unter https://www.htbridge.com/ssl/ angebotenen Dienst getestet - und zwar vor und nach der Maßnahme. Ich konnte darüber sehr gut erkennen, das die Deaktivierung über diesen Weg auch wirklich gegriffen hat ...