راهنمای پیکربندی Microsoft Windows برای استفاده از TLS نسخه ۱.۲

مقدمه

این سند توضیح می‌دهد که چگونه ویندوز ۷ و Microsoft Outlook 2010 را برای استفاده از پروتکل Transport Layer Security (TLS) نسخه ۱.۲ پیکربندی کنید.

نکات مهم:

• TLS نسخه ۱.۲ پشتیبانی می‌شود.
• توصیه می‌کنیم TLSv1.2 را در سرور خود فعال کنید.
• این دستورالعمل‌ها فقط برای سرورهایی با ویندوز ۷ کاربرد دارند.
• توصیه می‌کنیم تنظیمات cipher و protocol برای سرویس‌های Exim و Dovecot تغییر نکنند، زیرا این سرویس‌ها در ویندوز ۷ دارای آسیب‌پذیری‌های امنیتی هستند و باعث عدم قبولی در اسکن PCI می‌شوند.
• سرویس‌های آسیب‌پذیر: Outlook 2007 و Outlook 2010.

مراحل فعال‌سازی TLSv1.2

۱. نصب به‌روزرسانی ویندوز

• ابتدا KB3140245 را از Microsoft Update Catalog دانلود و نصب کنید.
• این به‌روزرسانی مسیرهای رجیستری لازم برای فعال‌سازی TLSv1.2 را ایجاد می‌کند.
• پس از نصب، سیستم خود را ریستارت کنید.

۲. افزودن کلید رجیستری برای سرویس‌های Windows HTTP

۱. از منوی Start، regedit.exe را جستجو و اجرا کنید.
2. به مسیر زیر بروید:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings

3. کلید WinHttp را انتخاب کنید.
4. از منوی Edit → New → DWORD (32-bit) Value را انتخاب کنید.
   • در سیستم ۶۴ بیتی، QWORD (64-bit) Value را انتخاب کنید.
5. نام کلید را DefaultSecureProtocols بگذارید.
6. روی فایل راست‌کلیک → Modify → مقدار A00 را وارد کنید و OK کنید.
7. اگر سیستم ۶۴ بیتی است، همین مراحل را برای مسیر زیر هم انجام دهید: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp

۳. افزودن کلید رجیستری برای دایرکتوری‌های TLS

TLS 1.1

• مسیر رجیستری: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client
• مراحل:
  1. مسیر را باز کنید و روی Client راست‌کلیک → Edit → New → DWORD (32-bit) Value
  2. نام کلید را DisabledByDefault بگذارید.
  3. مقدار آن را 0 قرار دهید.

TLS 1.2

• مسیر رجیستری: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client
• همین مراحل برای TLS 1.2 نیز اعمال شود.
• برای سیستم‌های ۶۴ بیتی، همین مراحل برای هر دو مسیر اعمال شود.

۴. اعمال تنظیمات

• پس از تغییرات، سیستم را ریستارت کنید.
• برای تست، یک حساب ایمیل در Outlook ایجاد کنید و تنظیمات زیر را در بخش Advanced وارد کنید:
  • Incoming Server: 993 (IMAP) یا 995 (POP3)
  • Outgoing Server: 465 (SMTP)
• پس از انجام این تنظیمات، Outlook به سرویس‌های ایمیل سرور cPanel شما متصل خواهد شد.

۵. استفاده از اسکریپت‌ها برای اتوماتیک کردن مراحل

دو اسکریپت ایجاد شده‌اند:

a) install-kb.ps1

• وظیفه: دانلود و نصب به‌روزرسانی KB3140245
• بررسی می‌کند سیستم ۳۲ بیتی یا ۶۴ بیتی است و فایل مناسب را دانلود و نصب می‌کند.

محتوای نمونه اسکریپت:

Import-Module BitsTransfer

$arch=(Get-WmiObject -Class Win32_operatingsystem).Osarchitecture

If ($arch -eq "32-bit") {
    $kbUrl32 = "http://download.windowsupdate.com/c/msdownload/update/software/updt/2016/04/windows6.1-kb3140245-x86_cdafb409afbe28db07e2254f40047774a0654f18.msu"
    $kb32 = "windows6.1-kb3140245-x86_cdafb409afbe28db07e2254f40047774a0654f18.msu"
    Start-BitsTransfer -source $kbUrl32
    wusa $kb32 /log:install.log
}
Else {
    $kbUrl64 = "http://download.windowsupdate.com/c/msdownload/update/software/updt/2016/04/windows6.1-kb3140245-x64_5b067ffb69a94a6e5f9da89ce88c658e52a0dec0.msu"
    $kb64 = "windows6.1-kb3140245-x64_5b067ffb69a94a6e5f9da89ce88c658e52a0dec0.msu"
    Start-BitsTransfer -source $kbUrl64
    wusa $kb64 /log:install.log
}

b) tls-reg-edit.ps1

• وظیفه: ایجاد کلیدهای رجیستری لازم برای TLS 1.1 و 1.2 و WinHttp

محتوای نمونه اسکریپت:

$arch=(Get-WmiObject -Class Win32_operatingsystem).Osarchitecture
$reg32bWinHttp = "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp"
$reg64bWinHttp = "HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp"
$regWinHttpDefault = "DefaultSecureProtocols"
$regWinHttpValue = "0x00000a00"
$regTLS11 = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client"
$regTLS12 = "HKLM:SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"
$regTLSDefault = "DisabledByDefault"
$regTLSValue = "0x00000000"

Clear-Host
Write-Output "Creating Registry Keys...`n"

# WinHttp 32-bit
Write-Output "Creating registry key $reg32bWinHttp\$regWinHttpDefault with value $regWinHttpValue"
IF(!(Test-Path $reg32bWinHttp)) {
    New-Item -Path $reg32bWinHttp -Force | Out-Null
    New-ItemProperty -Path $reg32bWinHttp -Name $regWinHttpDefault -Value $regWinHttpValue -PropertyType DWORD -Force | Out-Null
} ELSE {
    New-ItemProperty -Path $reg32bWinHttp -Name $regWinHttpDefault -Value $regWinHttpValue -PropertyType DWORD -Force | Out-Null
}

# WinHttp 64-bit
IF($arch -eq "64-bit") {
    Write-Output "Creating registry key $reg64bWinHttp\$regWinHttpDefault with value $regWinHttpValue"
    IF(!(Test-Path $reg64bWinHttp)) {
        New-Item -Path $reg64bWinHttp -Force | Out-Null
        New-ItemProperty -Path $reg64bWinHttp -Name $regWinHttpDefault -Value $regWinHttpValue -PropertyType DWORD -Force | Out-Null
    } ELSE {
        New-ItemProperty -Path $reg64bWinHttp -Name $regWinHttpDefault -Value $regWinHttpValue -PropertyType DWORD -Force | Out-Null
    }
}

# TLS 1.1
Write-Output "Creating registry key $regTLS11\$regTLSDefault with value $regTLSValue"
IF(!(Test-Path $regTLS11)) {
    New-Item -Path $regTLS11 -Force | Out-Null
    New-ItemProperty -Path $regTLS11 -Name $regTLSDefault -Value $regTLSValue -PropertyType DWORD -Force | Out-Null
} ELSE {
    New-ItemProperty -Path $regTLS11 -Name $regTLSDefault -Value $regTLSValue -PropertyType DWORD -Force | Out-Null
}

# TLS 1.2
Write-Output "Creating registry key $regTLS12\$regTLSDefault with value $regTLSValue"
IF(!(Test-Path $regTLS12)) {
    New-Item -Path $regTLS12 -Force | Out-Null
    New-ItemProperty -Path $regTLS12 -Name $regTLSDefault -Value $regTLSValue -PropertyType DWORD -Force | Out-Null
} ELSE {
    New-ItemProperty -Path $regTLS12 -Name $regTLSDefault -Value $regTLSValue -PropertyType DWORD -Force | Out-Null
}

Write-Output "`nComplete!"

اجرای اسکریپت‌ها

Set-ExecutionPolicy Bypass -Scope Process ; .\install-kb.ps1
Set-ExecutionPolicy Bypass -Scope Process ; .\tls-reg-edit.ps1

• پس از اجرای اسکریپت‌ها، سیستم را ریستارت کنید تا تنظیمات اعمال شوند.

کیان پور