Wenn es um Cybersicherheit geht, ist der Grat zwischen Compliance und Kompromittierung oft schmal. Wenn Sie in der IT-Branche tätig sind, insbesondere wenn Sie IT-Expert:in oder Teil eines Managed Service Providers (MSP) sind, haben Sie sich wahrscheinlich schon eine Weile mit diesem Thema befasst. Seien wir ehrlich, alte Verschlüsselungsprotokolle wie SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1 sind nicht nur veraltet, sondern stellen im Grunde eine Gefahr für die Cybersicherheit dar, die jederzeit eskalieren kann. Dieses Problem muss gelöst werden, und dieser Blogbeitrag ist Ihre Schritt-für-Schritt-Anleitung, um genau das zu tun, und zwar schwache SSL-Verschlüsselungsprotokolle zu deaktivieren und dabei Ihre Sicherheitslage zu verbessern.
Was sind schwache Verschlüsselungsprotokolle und warum sollten Sie sich dafür interessieren?
Schwache Verschlüsselungsprotokolle sind veraltete Algorithmen, die in der SSL/TLS-Verschlüsselung verwendet werden und anfällig für Angriffe sind. Cyberkriminelle könnten diese Schwachstellen ausnutzen, um sensible Daten zu kompromittieren. In Anbetracht der heutigen strengen gesetzlichen Vorschriften könnte die Verwendung dieser veralteten Protokolle auch Compliance-Risiken mit sich bringen, ganz zu schweigen von dem Schaden, den ein Unternehmen dadurch erleiden könnte.
PowerShell-Skript zum Deaktivieren schwacher SSL/TLS-Verschlüsselungsprotokolle
Wenn Sie eine Windows-basierte Infrastruktur verwalten, ist PowerShell Ihr bester Freund. Für diejenigen, die gleich loslegen wollen, automatisiert das unten stehende Skript die Deaktivierung schwacher Verschlüsselungsprotokolle wie TLS 1.0, TLS 1.1, SSL 2.0 und SSL 3.0 und aktiviert gleichzeitig das robustere TLS 1.2.
Das Skript
Hinweis: Für die Ausführung des Skripts sind PowerShell 5.1 und Administratorberechtigungen erforderlich. Es ist kompatibel mit Windows 10 und Windows Server 2016. Auch wenn es auf älteren Versionen wie Windows 7 oder Server 2008 R2 ausgeführt werden kann, ist PowerShell 5.1 eine Voraussetzung.
#Requires -Version 5.1
<#
.SYNOPSIS
Disables TLS 1.0, TLS 1.1, SSL 2.0, SSL 3.0. Enables TLS 1.2.
.DESCRIPTION
Disables TLS 1.0, TLS 1.1, SSL 2.0, SSL 3.0. Enables TLS 1.2.
.EXAMPLE
No Parameters Needed
Disables TLS 1.0, TLS 1.1, SSL 2.0, SSL 3.0. Enables TLS 1.2.
.EXAMPLE
-Restart
Disables TLS 1.0, TLS 1.1, SSL 2.0, SSL 3.0. Enables TLS 1.2. Does Restart the computer.
.OUTPUTS
String[]
.NOTES
Minimum OS Architecture Supported: Windows 10, Windows Server 2016
Could possibly run on Windows 7 and Server 2008 R2, but PowerShell 5.1 would be required.
Release Notes:
Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms.
Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party.
Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider.
Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations.
Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks.
Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script.
EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>
[CmdletBinding()]
param ()
begin {
function Test-IsElevated {
$id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
$p = New-Object System.Security.Principal.WindowsPrincipal($id)
$p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
}
}
process {
if (-not (Test-IsElevated)) {
Write-Error -Message "Access Denied. Please run with Administrator privileges."
exit 1
}
@(
[PSCustomObject]@{
Protocol = 'SSL 2.0'
Value = 0
Default = 1
}
[PSCustomObject]@{
Protocol = 'SSL 3.0'
Value = 0
Default = 1
}
[PSCustomObject]@{
Protocol = 'TLS 1.0'
Value = 0
Default = 1
}
[PSCustomObject]@{
Protocol = 'TLS 1.1'
Value = 0
Default = 1
}
[PSCustomObject]@{
Protocol = 'TLS 1.2'
Value = 1
Default = 0
}
) | ForEach-Object {
$RegServerBase = "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols$($_.Protocol)Server"
$RegClientBase = "HKLM:SYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols$($_.Protocol)Client"
New-Item $RegServerBase -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $RegServerBase -Name 'Enabled' -Value $($_.Value) -PropertyType 'DWord' -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $RegServerBase -Name 'DisabledByDefault' -Value $($_.Default) -PropertyType 'DWord' -Force -ErrorAction SilentlyContinue | Out-Null
New-Item $RegClientBase -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $RegClientBase -Name 'Enabled' -Value $($_.Value) -PropertyType 'DWord' -Force -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path $RegClientBase -Name 'DisabledByDefault' -Value $($_.Default) -PropertyType 'DWord' -Force -ErrorAction SilentlyContinue | Out-Null
$State = if (
$(Get-ItemPropertyValue -Path $RegServerBase -Name 'Enabled') -eq 0 -and
$(Get-ItemPropertyValue -Path $RegServerBase -Name 'DisabledByDefault') -eq 1
) { 'disabled' } else { 'enabled' }
Write-Host "$($_.Protocol) has been $State."
}
Write-Host "Please reboot for settings to take effect."
}
end {}
Greifen Sie auf über 300 Skripte im NinjaOne Dojo zu.
Hauptmerkmale des Skripts
- Prüfung auf Administratorrechte: Das Skript wird beendet, wenn es nicht mit Administratorrechten ausgeführt wird, um eine versehentliche Ausführung zu verhindern.
- Registrierungsänderungen: Das Skript nimmt gezielte Änderungen an der Windows-Registrierung vor, insbesondere in den Bereichen, die SSL/TLS-Protokolle verwalten, um die Sicherheitseinstellungen durchzusetzen.
- Rückkopplungsschleife: Das Skript bestätigt, welche Protokolle aktiviert oder deaktiviert wurden.
- Es sind keine Parameter erforderlich: Das Skript ist einfach auszuführen. Wenn Sie den Computer nach der Ausführung des Skripts neu starten möchten, geben Sie den Parameter „-Restart“ an.
Wie können IT-Expert:innen und MSPs davon profitieren?
Zeitersparnis
Für IT-Expert:innen und MSPs, die mehrere Systeme verwalten, ist dieses Skript ein sehr nützliches Tool. Sie können es problemlos auf mehreren Rechnern einsetzen und so unzählige Arbeitsstunden sparen.
Compliance
Regulatorische Frameworks wie PCI DSS verlangen, dass schwache Verschlüsselungen deaktiviert werden. Dieses Skript bietet eine Komplettlösung, um die Compliance mit minimalem Aufwand zu erreichen.
Skalierbarkeit
Das Skript kann in größere Automatisierungsworkflows integriert werden und ist somit ein vielseitiges Tool zur Skalierung von Sicherheitsabläufen.
Risikominimierung
Durch die Deaktivierung schwacher Verschlüsselungen in SSL/TLS verringern Sie das Risiko von Datenschutzverletzungen und Cyberangriffen und verbessern so die Sicherheitslage Ihres Unternehmens.
Integration des Skripts in NinjaOne für optimierte Abläufe
Wenn Sie ein IT-Experte oder Teil eines MSP sind, ist es gut möglich, dass Sie NinjaOne bereits kennen. Die Fähigkeiten unserer Plattform gehen weit über die üblichen Ticketing-, Patch-Management- und Inventarisierungsfunktionen hinaus, die Sie vielleicht mit einem RMM in Verbindung bringen.
Hier erfahren Sie, wie Sie das PowerShell-Skript zur Deaktivierung schwacher SSL/TLS-Verschlüsselungsprotokolle in Ihr NinjaOne-Setup integrieren können:
Zentralisierte Bereitstellung
NinjaOne bietet zentralisierte Skriptverteilung, die es Ihnen ermöglicht, dieses PowerShell-Skript auf mehreren Endpunkten gleichzeitig auszuführen. Navigieren Sie zum Abschnitt „Skripterstellung“, laden Sie das Skript hoch und führen Sie es auf den von Ihnen verwalteten Systemen aus — alles über ein einziges Dashboard.
Geplante Ausführung
Richten Sie in NinjaOne Zeitpläne ein, um das Skript zu bestimmten Zeiten auszuführen. Dies ist besonders nützlich für neue Geräte, die dem Netzwerk beitreten, oder um die Einhaltung von Standards regelmäßig zu überprüfen.
Warnmeldungen und Überwachung
Konfigurieren Sie NinjaOne so, dass es die Registrierungs-Einstellungen für SSL/TLS-Protokolle überwacht. Jede Abweichung von den festgelegten Normen (zum Beispiel die Aktivierung eines schwachen Verschlüsselungsprotokolls) kann eine Benachrichtigung auslösen, sodass sofortige Fehlerbehebungs-Maßnahmen ergriffen werden können.
Berichterstellung
Die umfassende Berichterstellungs-Funktion von NinjaOne ermöglicht es Ihnen, den Erfolg der Skriptverteilung zu überprüfen. Sie können Berichte erstellen, die die Deaktivierung von schwachen Verschlüsselungsprotokolle bestätigen, was bei Compliance-Audits hilfreich sein kann.
Abschließende Überlegungen
Falls Sie im Jahr 2023 immer noch schwache Verschlüsselungsprotokolle verwenden, sollten Sie dies als einen Weckruf betrachten. Verwenden Sie das obige PowerShell-Skript, um schwache Verschlüsselungen in Windows-Umgebungen zu deaktivieren, und unternehmen Sie einen konkreten Schritt zur Stärkung Ihrer Cybersicherheitsinfrastruktur.
Sie würden kein rostiges altes Schloss verwenden, um einen Tresor zu sichern. Verwenden Sie keine veralteten Verschlüsselungsprotokolle, um Ihre Daten zu schützen. Es ist an der Zeit, Ihr Netzwerk zu modernisieren und zu sichern. Wenn Sie sich jemals wieder fragen sollten, wie Sie schwache Verschlüsselungen in Windows deaktivieren können, denken Sie an diesen Blogbeitrag, in dem alle wichtigen Informationen zu finden sind.
Hinweis: Testen Sie Skripte und Änderungen immer in einer kontrollierten Umgebung, bevor Sie diese in der Produktion einsetzen.