In IIS 7 (und 7.5) müssen zwei Dinge getan werden:

1. Navigieren Sie zu: Start> 'gpedit.msc'> Computerkonfiguration> Admin-Vorlagen> Netzwerk> SSL-Konfigurationseinstellungen> Reihenfolge der SSL-Verschlüsselungssuite (zum Öffnen im rechten Bereich doppelklicken). Dort kopieren und fügen Sie den folgenden (Einträge durch ein Komma voneinander getrennt sind, stellen Sie sicher, dass es keine Zeilenumbrüche):

   TLS_RSA_WITH_RC4_128_SHA, TLS_RSA_WITH_RC4_128_MD5, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_DHE _DSS_WITH_AES_256_CBC_SHA256, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256

2. Führen Sie die folgenden Powershell-Befehle als Administrator (copy-paste in den Editor, speichern als ‚fix-Tier-in- iis.ps1 'und mit erhöhten Berechtigungen ausführen):

     #make TSL 1.2-Protokollreg. Keysmd "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.2" md "HKLM : \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protokolle \ TLS 1.2 \ Server "md" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protokolle \ TLS 1.2 \ Client "# TLS 1.2 für Client- und Server-SCHANNEL aktivieren Kommunikation
   new-itemproperty-path "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.2 \ Server" -name "Enabled" -Wert 1 -PropertyType "DWord" new-itemproperty-path "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.2 \ Server "-Name" DisabledByDefault "-Wert 0 -PropertyType" DWord "new-itemproperty -path" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNELS \ Protokolle \ SCHANNEL \ 1.2 \ Client "-Name" Aktiviert "-Wert 1 -PropertyType" DWord "new-itemproperty -path" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.2 \ Client "-Name" DisabledByDefault "-Wert 0 -PropertyType "DWord" # Erstellen und Aktivieren von TLS 1.1 für Client und Server SCHANNEL-Kommunikation md "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1" md "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1 \ Server "md" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Prot ocols \ TLS 1.1 \ Client "new-itemproperty-path" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1 \ Server "-name" Enabled "-Wert 1 -PropertyType" DWord "new-itemproperty - Pfad "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1 \ Server" -Name "DisabledByDefault" -Wert 0 -PropertyType "DWord" new-itemproperty -path "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1 \ Client "-Name" Enabled "-Wert 1 -PropertyType" DWord "new-itemproperty -path" HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ TLS 1.1 \ Client " -name "DisabledByDefault" -Wert 0 -PropertyType "DWord" # SSL 2.0 deaktivieren (PCI-Konformität) md "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 2.0 \ Server" new-itemproperty -path "HKLM : \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 2.0 \ Server "-Name Aktiviert -Wert 0 -PropertyType" DWord " 

ol>

Sobald Sie das Skript ausgeführt haben, können Sie 'regedit' ausführen und sicherstellen, dass die Schlüssel im Skript tatsächlich korrekt erstellt wurden. Starten Sie dann neu, damit die Änderung wirksam wird.

WARNUNG: Beachten Sie, dass ich SSL 3.0 nicht deaktiviert habe. Der Grund dafür liegt in der Tatsache, dass es immer noch Leute gibt, ob es Ihnen gefällt oder nicht Verwenden von Windows XP mit IE 6/7. Ohne SSL 3.0 gäbe es kein Protokoll, auf das diese Personen zurückgreifen könnten. Während Sie bei einem Qualys SSL Labs-Scan möglicherweise immer noch keine perfekte Leistung erzielen, sollten Sie die meisten Löcher schließen, indem Sie die vorherigen Schritte ausführen. Wenn Sie absolute PCI-Konformität wünschen, können Sie die Zeilen aus dem Abschnitt SSL 2.0 deaktivieren des Powershell-Skripts kopieren, am Ende des Skripts einfügen und wie folgt ändern:

  # Deaktivieren SSL 3.0 (PCI-Konformität) md "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 3.0 \ Server" new-itemproperty-path "HKLM: \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 3.0 \ Server "-Name Aktiviert -Wert 0 -PropertyType" DWord " 

Wenn Sie das Skript ausführen, deaktivieren Sie SSL 2.0, SSL 3.0 und aktivieren TLS 1.1 und 1.2.

Ich habe gerade ein Update für IIS Crypto veröffentlicht, ein kostenloses Tool, mit dem die Schannel-Registrierungsschlüssel festgelegt und RC4 mit einem einzigen Klick an die Spitze der Reihenfolge der SSL-Verschlüsselungssuite gesetzt werden. Dies verringert den BEAST-Angriff auf Windows Server 2008 und 2012.

Was das tatsächliche Risiko betrifft, scheint es schwer zu sagen. Während Tools wie SSL Labs dies als hohe Priorität melden, sind mir keine wirklichen Angriffe bekannt, die dies in freier Wildbahn ausnutzen, und aufgrund meines (sehr begrenzten) Verständnisses der Funktionsweise des Angriffs ist die Ausführung ziemlich kompliziert und es gibt viele Vorkenntnisse -Voraussetzungen, um es zu einer echten Bedrohung zu machen. Sie haben bereits eine Verknüpfung zu zahlreichen Ressourcen hergestellt, sodass es keinen Sinn macht, zu wiederholen, was bereits behandelt wurde.

Bei der Konfiguration von IIS 7 für die Verwendung von RC4 kann dieses PDF möglicherweise helfen?

Deaktivieren von "RC4" mit IIS Crypto, um den PCI-Konformitätstest auf Server 2008 / IIS 7.0

Die folgende Registrierungsdatei deaktiviert SSLv2 & SSLv3 in den meisten Windows-Implementierungen.

Erstellen Sie eine REG-Datei mit den folgenden Details und führen Sie sie aus.

  Windows Registry Editor-Version 5.00 [HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 3.0] [HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 3.0 \ Client] " \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 3.0 \ Server] "Enabled" = dword: 00000000 [HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 2.0] [HKEY_LOCALM \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 2.0 \ Client] "DisabledByDefault" = dword: 00000001 [HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ Protocols \ SSL 2.0 \ Server] "Enabled" = dword: 00000000 / pre> 
 Der einfachste Weg für Sie, dies zu überprüfen, ist u Singen Sie entweder erneut SSL-Labore oder testen Sie mit OpenSSL. Es ist nichts wert, dass einige Versionen von OpenSSL SSL Version 2 nicht unterstützen. 
 
 OpenSSL 0.9.8t unterstützt dies und ist die Version, die ich zum Testen verwende. 
 
 
 openssl s_client -connect  subdomain.domain.tld: 443  -ssl2 
 
 
 Dies ist mein Befehl go, um mithilfe von openssl nach Kettenblock-Chiffren zu suchen. Die Idee ist, dass wir keine Verbindung mit diesen herstellen sollten. 
 
 
 openssl s_client -connect  subdomain.domain.tld: 443  -tls1 -cipher SRP- DSS-AES-256-CBC-SHA: SRP-RSA-AES-256-CBC-SHA: SRP-AES-256-CBC-SHA: PSK-AES256-CBC-SHA: SRP-DSS-AES-128-CBC- SHA: RP-RSA-AES-128-CBC-SHA: SRP-AES-128-CBC-SHA: IDEA-CBC-SHA: PSK-AES128-CBC-SHA: SRP-DSS-3DES-EDE-CBC-SHA: SRP-RSA-3DES-EDE-CBC-SHA: SRP-3DES-EDE-CBC-SHA: PSK-3DES-EDE-CBC-SHA: EDH-RSA-DES-CBC-SHA: EDH-DSS-DES-CBC-SHA SHA: DH-RSA-DES-CBC-SHA: DH-DSS-DES-CBC-SHA: DES-CBC-SHA