SSL-Sicherheit verbessern - Versionsgeschichte

Ltalaschus: /* Empfohlene Einstellungen */

2023-08-22T14:04:09Z

Empfohlene Einstellungen

Bmeyn: /* Empfohlene Einstellungen */

2022-05-30T12:28:15Z

Empfohlene Einstellungen

Ltalaschus am 30. August 2019 um 13:48 Uhr

2019-08-30T13:48:00Z

Dweuthen: /* Empfohlene Einstellungen */

2018-07-16T09:37:54Z

Empfohlene Einstellungen

Dweuthen: /* Empfohlene Einstellungen */

2016-06-27T13:25:11Z

Empfohlene Einstellungen

Dweuthen am 10. November 2014 um 13:37 Uhr

2014-11-10T13:37:29Z

Admin am 30. Oktober 2014 um 13:20 Uhr

2014-10-30T13:20:34Z

Dweuthen am 30. Oktober 2014 um 10:29 Uhr

2014-10-30T10:29:35Z

Dweuthen: Die Seite wurde neu angelegt: „Die Standardkonfiguration der meisten Betriebssysteme ermoeglicht die Nutzung beliebiger Verschlüsselungs- und Hash-Verfahren durch Anwendungen, welche als SS…“

2014-10-28T17:09:36Z

Die Seite wurde neu angelegt: „Die Standardkonfiguration der meisten Betriebssysteme ermoeglicht die Nutzung beliebiger Verschlüsselungs- und Hash-Verfahren durch Anwendungen, welche als SS…“

Neue Seite

Die Standardkonfiguration der meisten Betriebssysteme ermoeglicht die Nutzung beliebiger Verschlüsselungs- und Hash-Verfahren durch Anwendungen, welche als SSL-Client oder -Server agieren. Während dies die größtmögliche Kompatibilität zu anderen Client- und Server-Anwendungen sicherstellt, entspricht es aufgrund der Unterstützung unsicherer Protokolle, Verschlüsselungs- und Hash-Verfahren nicht länger den Erwartung an SSL-verschlüsselte Verbindungen in Bezug auf Vertraulichkeit und Authentisierung der übertragenen Daten.

Daher besteht das Verbessern von SSL-Sicherheit hauptsächlich aus dem Abschalten dieser unsicheren Protokolle, Verschlüsselungs- und Hash-Verfahren und dem Priorisieren von Verschlüsselungsverfahren welche die Nutzung von [[wikipedia:Perfect Forward Secrecy|Perfect Forward Secrecy]] ermöglichen.

Da MailStore Server den Windows-eigenen Security Support Provider (SSP), genannt ''Secure Channel'' (auch bekannt als ''Schannel'') verwendet, ist es notwendig, eine Vielzahl von Registrierungsschlüsseln zu erstellen oder zu verändern um unsichere Protokolle, Verschlüsselungs- und Hash-Verfahren zu deaktivieren. Auch wenn Microsofts Technet Artikel [http://support.microsoft.com/kb/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll] im Detail beschreibt, welche Registrierungsschlüssel die Einstellungen des Security Support Providers beeinflussen, ist es nicht empfohlen diese Schlüssel händisch zu verändern. Einen sichereren Weg stellt die Nutzung von [https://www.nartac.com/ Nartac Softwares IIS Crypto] dar.

'''Wichtiger Hinweis: '''Änderungen an der Konfiguration des Security Support Providers (SSP) haben möglicherweise Einfluss auf allgemeine Betriebssystemfunktionen wie Authentifizierungsdienste so wie Remote Desktop- und Management-Funktionen oder Anwendungen von Drittherstellern welchen ebenfalls SSP nutzen. Daher ist nach dem Anwenden von Konfigurationsänderungen sorgfältiges Testen aller Dienste erforderlich.

== Empfohlene Einstellungen ==
Das höchste Maß an Sicherheit erhalten Sie mit den folgenden Einstellungen in ''IIS Crypto'' auf dem MailStore Server Computer.

'''Bitte beachten:''' Die empfohlenen Einstellungen verhindern Verbindungen von Windows XP-Clients zu MailStore Server. Ist es notwendig Windows XP-Clients zu unterstützen, verwenden Sie die ''Best Practice'' Vorlage in ''IIS Crypto'', welche das unsichere ''SSL 3.0'' Protokoll, so wie die schwächeren Verschlüsselungsverfahren ''Triple DES 168/168'' und ''RC4 128/128'' und das ''MD5'' Hash-Verfahren reaktiviert.

{| class="wikitable"
| '''Protocols Enabled'''
| TLS 1.0 TLS 1.1 TLS 1.2
|-
| '''Ciphers Enabled'''
| AES 128/128 AES 256/256
|-
| '''Hashes Enabled'''
| SHA
|-
| '''Key Exchange Enabled'''
| Diffie-Hellman PKCS
|-
| '''SSL Cipher Suite Order'''
| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P521 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384 
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P521 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384 
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256 
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521 
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384 
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521 
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384 
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256 
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521 
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384 
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P521 
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384 
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P521 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384 
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256 
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256 
TLS_DHE_DSS_WITH_AES_256_CBC_SHA 
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 
TLS_DHE_DSS_WITH_AES_128_CBC_SHA 
TLS_RSA_WITH_AES_256_CBC_SHA256 
TLS_RSA_WITH_AES_256_CBC_SHA 
TLS_RSA_WITH_AES_128_CBC_SHA256 
TLS_RSA_WITH_AES_128_CBC_SHA 
|}

[[de:SSL-Sicherheit verbessern]]
[[en:Enhancing SSL Security]]

@@ Zeile 8: / Zeile 8: @@
 == Empfohlene Einstellungen ==
-Das höchste Maß an Sicherheit erhalten Sie mit den folgenden Einstellungen in ''IIS Crypto'' auf dem MailStore Server Computer.
+Das höchste Maß an Sicherheit erhalten Sie mit den folgenden Einstellungen in ''IIS Crypto'' auf dem MailStore Server Computer. Einige Optionen stehen nur unter Windows Server 2022 und Windows 11 zur Verfügung.
 {| class="wikitable"
 | '''Protocols Enabled'''
-| TLS 1.2
+| TLS 1.3<br/>
 |-
 | '''Ciphers Enabled'''
@@ Zeile 30: / Zeile 31: @@
 |-
 | '''SSL Cipher Suite Order'''
-| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384<br/>
+| TLS_AES_256_GCM_SHA384<br/>
 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256<br/>
 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384<br/>

@@ Zeile 3: / Zeile 3: @@
 Daher besteht das Verbessern der SSL-Sicherheit hauptsächlich aus dem Abschalten dieser unsicheren Protokolle, Verschlüsselungs- und Hash-Verfahren und dem Priorisieren von Verschlüsselungsverfahren, welche die Nutzung von [[wikipedia:Perfect Forward Secrecy|Perfect Forward Secrecy]] ermöglichen.
-Da MailStore Server den Windows-eigenen Security Support Provider (SSP), genannt ''Secure Channel'' (auch bekannt als ''Schannel'') verwendet, ist es notwendig, eine Vielzahl von Registrierungsschlüsseln zu erstellen oder zu verändern, um unsichere Protokolle, Verschlüsselungs- und Hash-Verfahren zu deaktivieren. Auch wenn Microsofts Technet Artikel [http://support.microsoft.com/kb/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll] im Detail beschreibt, welche Registrierungsschlüssel die Einstellungen des Security Support Providers beeinflussen, ist es nicht empfohlen, diese Schlüssel händisch zu verändern. Einen sichereren Weg stellt die Nutzung von [https://www.nartac.com/ Nartac Softwares IIS Crypto] dar.
+Da MailStore Server den Windows-eigenen Security Support Provider (SSP), genannt ''Secure Channel'' (auch bekannt als ''Schannel'') verwendet, ist es notwendig, eine Vielzahl von Registrierungsschlüsseln zu erstellen oder zu verändern, um unsichere Protokolle, Verschlüsselungs- und Hash-Verfahren zu deaktivieren. Auch wenn Microsofts Artikel [https://docs.microsoft.com/en-us/windows-server/security/tls/tls-registry-settings Transport Layer Security (TLS) registry settings] im Detail beschreibt, welche Registrierungsschlüssel die Einstellungen des Security Support Providers beeinflussen, ist es nicht empfohlen, diese Schlüssel händisch zu verändern. Einen sichereren Weg stellt die Nutzung von [https://www.nartac.com/ Nartac Softwares IIS Crypto] dar.
 <p class="mswarning">'''Wichtiger Hinweis: '''Änderungen an der Konfiguration des Security Support Providers (SSP) haben möglicherweise Einfluss auf allgemeine Betriebssystemfunktionen wie Authentifizierungsdienste sowie auf Remote Desktop- und Management-Funktionen oder auf Anwendungen von Drittherstellern, welche ebenfalls SSP nutzen. Daher ist nach dem Anwenden von Konfigurationsänderungen ein sorgfältiges Testen aller Dienste erforderlich.</p>

@@ Zeile 12: / Zeile 12: @@
 {| class="wikitable"
 | '''Protocols Enabled'''
-| TLS 1.0<br/>TLS 1.1<br/>TLS 1.2
+| TLS 1.1<br/>
 |-
 | '''Ciphers Enabled'''
-| AES 128/128<br/>AES 256/256
+| AES 128/128<br/>
 |-
 | '''Hashes Enabled'''
@@ Zeile 29: / Zeile 31: @@
 |-
 | '''SSL Cipher Suite Order'''
-| TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521<br/>
+| TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384<br/>
-TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384<br/>
+TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256<br/>
-TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256<br/>
+TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384<br/>
-TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P521<br/>
+TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256<br/>
-TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384<br/>
+TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA<br/>
-TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256<br/>
+TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521<br/>
+TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384<br/>
+TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256<br/>
+TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P521<br/>
+TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384<br/>
+TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA<br/>
-TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256<br/>
+TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA<br/>
 |}
 [[de:SSL-Sicherheit verbessern]]
 [[en:Enhancing SSL Security]]

@@ Zeile 20: / Zeile 20: @@
 |-
 | '''Hashes Enabled'''
-| SHA
+| SHA<br/>
 |-
 | '''Key Exchange Enabled'''
-| Diffie-Hellman<br/>PKCS
+| Diffie-Hellman<br/>
 |-
 | '''SSL Cipher Suite Order'''
@@ Zeile 33: / Zeile 38: @@
 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256<br/>
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521<br/>
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384<br/>
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256<br/>
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384<br/>
 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256<br/>
-TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521<br/>
+TLS_RSA_WITH_AES_256_GCM_SHA384*<br/>
-TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384<br/>
+TLS_RSA_WITH_AES_128_GCM_SHA256*<br/>
 TLS_RSA_WITH_AES_256_CBC_SHA256<br/>
 TLS_RSA_WITH_AES_256_CBC_SHA<br/>
 TLS_RSA_WITH_AES_128_CBC_SHA256<br/>
 TLS_RSA_WITH_AES_128_CBC_SHA<br/>
 |}
 [[de:SSL-Sicherheit verbessern]]
 [[en:Enhancing SSL Security]]

@@ Zeile 1: / Zeile 1: @@
 Die Standardkonfiguration der meisten Betriebssysteme ermöglicht die Nutzung beliebiger Verschlüsselungs- und Hash-Verfahren durch Anwendungen, welche als SSL-Client oder -Server agieren. Während dies die größtmögliche Kompatibilität zu anderen Client- und Server-Anwendungen sicherstellt, entspricht es aufgrund der Unterstützung unsicherer Protokolle, Verschlüsselungs- und Hash-Verfahren  nicht länger den Erwartungen an SSL-verschlüsselte Verbindungen in Bezug auf Vertraulichkeit und Authentisierung der übertragenen Daten.
-Daher besteht das Verbessern von SSL-Sicherheit hauptsächlich aus dem Abschalten dieser unsicheren Protokolle, Verschlüsselungs- und Hash-Verfahren und dem Priorisieren von Verschlüsselungsverfahren, welche die Nutzung von [[wikipedia:Perfect Forward Secrecy|Perfect Forward Secrecy]] ermöglichen.
+Daher besteht das Verbessern der SSL-Sicherheit hauptsächlich aus dem Abschalten dieser unsicheren Protokolle, Verschlüsselungs- und Hash-Verfahren und dem Priorisieren von Verschlüsselungsverfahren, welche die Nutzung von [[wikipedia:Perfect Forward Secrecy|Perfect Forward Secrecy]] ermöglichen.
 Da MailStore Server den Windows-eigenen Security Support Provider (SSP), genannt ''Secure Channel'' (auch bekannt als ''Schannel'') verwendet, ist es notwendig, eine Vielzahl von Registrierungsschlüsseln zu erstellen oder zu verändern, um unsichere Protokolle, Verschlüsselungs- und Hash-Verfahren zu deaktivieren. Auch wenn Microsofts Technet Artikel [http://support.microsoft.com/kb/245030 How to restrict the use of certain cryptographic algorithms and protocols in Schannel.dll] im Detail beschreibt, welche Registrierungsschlüssel die Einstellungen des Security Support Providers beeinflussen, ist es nicht empfohlen, diese Schlüssel händisch zu verändern. Einen sichereren Weg stellt die Nutzung von [https://www.nartac.com/ Nartac Softwares IIS Crypto] dar.
-<p class="mswarning">'''Wichtiger Hinweis: '''Änderungen an der Konfiguration des Security Support Providers (SSP) haben möglicherweise Einfluss auf allgemeine Betriebssystemfunktionen wie Authentifizierungsdienste so wie Remote Desktop- und Management-Funktionen oder Anwendungen von Drittherstellern, welche ebenfalls SSP nutzen. Daher ist nach dem Anwenden von Konfigurationsänderungen ein sorgfältiges Testen aller Dienste erforderlich.</p>
+<p class="mswarning">'''Wichtiger Hinweis: '''Änderungen an der Konfiguration des Security Support Providers (SSP) haben möglicherweise Einfluss auf allgemeine Betriebssystemfunktionen wie Authentifizierungsdienste sowie auf Remote Desktop- und Management-Funktionen oder auf Anwendungen von Drittherstellern, welche ebenfalls SSP nutzen. Daher ist nach dem Anwenden von Konfigurationsänderungen ein sorgfältiges Testen aller Dienste erforderlich.</p>
 == Empfohlene Einstellungen ==
 Das höchste Maß an Sicherheit erhalten Sie mit den folgenden Einstellungen in ''IIS Crypto'' auf dem MailStore Server Computer.
-<p class="msnote">'''Bitte beachten:''' Die empfohlenen Einstellungen verhindern Verbindungen von Windows XP-Clients zu MailStore Server. Ist es notwendig Windows XP-Clients zu unterstützen, verwenden Sie die ''Best Practice'' Vorlage in ''IIS Crypto'', welche das unsichere ''SSL 3.0'' Protokoll, sowie die schwächeren Verschlüsselungsverfahren ''Triple DES 168/168'' und ''RC4 128/128'' und das ''MD5'' Hash-Verfahren reaktiviert.</p>
+<p class="msnote">'''Bitte beachten:''' Die empfohlenen Einstellungen verhindern Verbindungen von Windows XP-Clients zu MailStore Server. Ist es notwendig, Windows XP-Clients zu unterstützen, verwenden Sie die ''Best Practice'' Vorlage in ''IIS Crypto'', welche das unsichere ''SSL 3.0'' Protokoll und die schwächeren Verschlüsselungsverfahren ''Triple DES 168/168'' und ''RC4 128/128'' und das ''MD5'' Hash-Verfahren reaktiviert.</p>
 {| class="wikitable"