Cómo aplicar TLS 1.2 y desactivar los protocolos de cifrado antiguos con el Registro o GPO

Transport Layer Security (TLS) 1.2 es el protocolo de cifrado estándar para proteger los datos que se transmiten entre dispositivos. Las versiones antiguas, como SSL 2.0, SSL 3.0, TLS 1.0 y TLS 1.1, están obsoletas por sus vulnerabilidades conocidas y deben desactivarse.

Mantener actualizado el protocolo de cifrado protege los datos en tránsito frente a ataques de degradación y conjuntos de cifrado inseguros. Además, garantiza que tus dispositivos cumplan los protocolos de seguridad habituales y los marcos de cumplimiento actuales. Así, los administradores reducen la superficie de ataque del ransomware y ayudan a evitar interrupciones del servicio.

Guía para aplicar TLS 1.2 en los dispositivos gestionados

Los protocolos de cifrado TLS se pueden activar en el Registro de Windows mediante Windows PowerShell o directivas de grupo. Los administradores pueden comprobar si los cambios se han aplicado con PowerShell o con el Visor de eventos.

También pueden etiquetar el estado de cifrado de sus dispositivos gestionados a través del Registro de Windows. Y, para las aplicaciones que todavía necesitan protocolos de cifrado antiguos, esa configuración se gestiona con Windows PowerShell.

📌 Requisitos previos:

• Necesitarás Windows 8.1/10/11 o Windows Server 2012 R2 o posterior.
• Necesitarás acceso de administrador a todos los dispositivos que quieras modificar.
• Se requiere PowerShell 5.1 o superior.
• Las pruebas locales de aplicaciones antiguas pueden depender de protocolos obsoletos. Tenlo en cuenta antes de actualizar el protocolo de cifrado de esas aplicaciones.

💡Nota: También puedes usar una herramienta de gestión de endpoints como NinjaOne para desplegar, verificar y supervisar la aplicación de la configuración.

📌 Estrategias de despliegue recomendadas:

Método 1: modificar el Registro para aplicar TLS 1.2 y desactivar los protocolos antiguos

Los protocolos de cifrado se pueden gestionar desde el Registro de Windows. Las claves de Registro correspondientes están en HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

Para desactivar SSL 2.0, SSL 3.0, TLS 1.0 y TLS 1.1, y activar TLS 1.2, sigue estos pasos:

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
3. Escribe este script y pulsa Intro:

$base = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols"

$disableProtocols = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1")

$enableProtocols = @("TLS 1.2")

foreach ($protocol in $disableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 1 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 1 -Type DWord

}

foreach ($protocol in $enableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 0 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 0 -Type DWord

}

4. Reinicia el equipo para aplicar los cambios.

Para validar que los cambios se han realizado, sigue estos pasos:

1. Abre el menú Inicio y busca Símbolo del sistema.
2. Haz clic derecho en Símbolo del sistema > Ejecutar como administrador.
3. Escribe este comando y pulsa Intro:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"

Método 2: aplicar la configuración mediante directivas de grupo

No existe una configuración nativa de GPO que permita forzar las versiones de TLS. Sin embargo, puedes crear las claves de Registro necesarias con directivas de grupo siguiendo estos pasos:

1. Abre el menú Inicio y busca Editar directiva de grupo para abrir el programa.
2. Ve a esta ruta: Configuración del equipo > Preferencias > Configuración de Windows > Registro.
3. Con esta ruta HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols, crea las siguientes claves:

• • SSL 2.0 – Server – Enabled (DWORD) = 0
  • SSL 2.0 – Server – DisabledByDefault (DWORD) = 1
  • SSL 2.0 – Client – Enabled (DWORD) = 0
  • SSL 2.0 – Client – DisabledByDefault (DWORD) = 1
  • SSL 3.0 – Server – Enabled (DWORD) = 0
  • SSL 3.0 – Server – DisabledByDefault (DWORD) = 1
  • SSL 3.0 – Client – Enabled (DWORD) = 0
  • SSL 3.0 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.0 – Server – Enabled (DWORD) = 0
  • TLS 1.0 – Server – DisabledByDefault (DWORD) = 1
  • TLS 1.0 – Client – Enabled (DWORD) = 0
  • TLS 1.0 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.1 – Server – Enabled (DWORD) = 0
  • TLS 1.1 – Server – DisabledByDefault (DWORD) = 1
  • TLS 1.1 – Client – Enabled (DWORD) = 0
  • TLS 1.1 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.2 – Server – Enabled (DWORD) = 1
  • TLS 1.2 – Server – DisabledByDefault (DWORD) = 0
  • TLS 1.2 – Client – Enabled (DWORD) = 1
  • TLS 1.2 – Client – DisabledByDefault (DWORD) = 0

💡Nota: este paso es opcional. Puedes ir a Configuración del equipo > Plantillas administrativas > Red > Opciones de configuración SSL y modificar la directiva Orden de conjuntos de cifrado SSL. Elimina los cifrados débiles y obsoletos para reforzar aún más la seguridad del dispositivo.

Método 3: confirmar la aplicación de TLS con PowerShell y los registros

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
3. Para probar la conexión TLS, escribe este script y pulsa Intro:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

Invoke-WebRequest -Uri "https://www.howsmyssl.com/a/check" -UseBasicParsing

4. Se generará un archivo JSON. Revísalo para ver la versión del protocolo utilizada.

Para consultar los registros con el Visor de eventos, sigue estos pasos:

1. Abre el menú Inicio y busca Visor de eventos para abrir el programa.
2. Ve a esta ruta: Visor de eventos > Registros de Windows > Sistema.
3. Busca los registros cuyo origen sea SChannel.
4. Ahí deberían aparecer registros con los ID de evento 36874 y 36888 si hay intentos fallidos o degradados.

Para comprobar el estado de estas claves de Registro con el Símbolo del sistema, sigue estos pasos:

1. Abre el menú Inicio y busca Símbolo del sistema.
2. Haz clic derecho en Símbolo del sistema > Ejecutar como administrador.
3. Escribe este comando y pulsa Intro:

reg query HKLM\SOFTWARE\Org\TLSAudit

Usa una herramienta RMM para buscar esta clave de forma periódica en todos tus dispositivos gestionados.

Método 4: corregir o supervisar las aplicaciones que siguen usando TLS antiguo

Puedes usar Windows PowerShell para analizar si las aplicaciones .NET aplican TLS siguiendo estos pasos:

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
3. Escribe este script y pulsa Intro:

Get-ChildItem -Path "C:\inetpub\wwwroot", "C:\Program Files" -Recurse -Include *.config |

Select-String -Pattern "SecurityProtocolType"

4. Se mostrará el protocolo de cifrado de la aplicación. Marca las aplicaciones que sigan usando TLS 1.0/1.1.
5. Si hay excepciones al requisito de TLS 1.2, puedes registrar esa información en el Registro de Windows aplicando este script:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TLSAudit" -Name "Exceptions" -Value "LegacyBackupApp"

⚠️ Resolución de problemas

Otros aspectos a tener en cuenta al aplicar TLS 1.2 y desactivar los protocolos de cifrado antiguos

• TLS 1.3 ya está disponible. Sin embargo, solo es compatible con versiones concretas de Windows 10/11 y Windows Server 2022.
• Algunas aplicaciones dejan de funcionar si se desactiva TLS 1.0/1.1. Haz pruebas antes de cerrar el despliegue.
• Comprueba que los navegadores también admitan y apliquen TLS 1.2.
• Incluye la auditoría de TLS en tu checklist de fortalecimiento de endpoints y en la documentación de la revisión trimestral de negocio.

Servicios de NinjaOne para activar TLS 1.2 y desactivar los protocolos de cifrado antiguos

NinjaOne te ayuda a aplicar y validar el cumplimiento de TLS 1.2 gracias a:

Activa TLS 1.2 en todos tus dispositivos gestionados y aplica las recomendaciones de seguridad

Aplicar TLS 1.2 o superior y desactivar los protocolos inseguros refuerza la seguridad de endpoints, favorece el cumplimiento y reduce la superficie de ataque. Aun así, algunas aplicaciones pueden seguir necesitando métodos de cifrado antiguos. Por eso es fundamental que los administradores supervisen correctamente sus dispositivos gestionados y comprueben que todo responde a las necesidades y requisitos de la organización.

Artículos relacionados:

• ¿Qué es un handshake TLS y cómo funciona?
• ¿Qué es un handshake TLS y cómo funciona?
• ¿Qué es el handshaking?
• Scripting de PowerShell para profesionales de TI: desactivar cifrados SSL/TLS débiles de forma sencilla