Zo dwingt u TLS 1.2 af en schakelt u verouderde encryptieprotocollen uit via het register of GPO

Transport Layer Security (TLS) 1.2 is het standaard encryptieprotocol waarmee gegevens tijdens het transport tussen verschillende devices worden beveiligd. Oudere versies zoals SSL 2.0, SSL 3.0, TLS 1.0 en TLS 1.1 zijn uitgefaseerd vanwege bekende kwetsbaarheden en moeten worden uitgeschakeld.

Door het encryptieprotocol up-to-date te houden, beschermt u data-in-transit tegen downgrade-aanvallen en onveilige cipher suites. Het zorgt er ook voor dat uw devices voldoen aan de gangbare beveiligingsprotocollen en moderne compliance-frameworks. Zo verkleinen beheerders het aanvalsoppervlak voor ransomware en beperken ze verstoringen van de dienstverlening.

Verdiep u verder in dit onderwerp en bekijk onze video: Zo dwingt u TLS 1.2 af en schakelt u verouderde encryptieprotocollen uit via het register of GPO.

Zo dwingt u TLS 1.2 af op al uw beheerde devices

TLS-encryptieprotocollen kunnen in het Windows-register worden ingeschakeld via Windows PowerShell of Groepsbeleid. Beheerders kunnen met PowerShell of Logboeken controleren of deze wijzigingen zijn doorgevoerd.

Ze kunnen de encryptiestatus van hun beheerde devices ook vastleggen via het Windows-register. En voor applicaties die nog verouderde encryptieprotocollen nodig hebben kunnen de instellingen met Windows PowerShell worden beheerd.

📌 Vereisten:

• U hebt Windows 8.1/10/11 of Windows Server 2012 R2 of nieuwer nodig.
• U hebt beheerderstoegang nodig tot alle devices die u wilt aanpassen.
• PowerShell 5.1 of hoger is vereist.
• Lokale tests voor oudere apps kunnen afhankelijk zijn van oudere protocollen. Houd daar rekening mee voordat u het encryptieprotocol voor deze applicaties aanpast.

💡Let op: u kunt ook een endpoint management-tool zoals NinjaOne gebruiken om de configuratie uit te rollen, te verifiëren en de naleving ervan te monitoren.

📌 Aanbevolen uitrolstrategieën:

Methode 1: registerinstellingen aanpassen om TLS 1.2 af te dwingen en verouderde protocollen uit te schakelen

Encryptieprotocollen kunnen via het Windows-register worden beheerd. De relevante registersleutels vindt u in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

Volg deze stappen om SSL 2.0, SSL 3.0, TLS 1.0 en TLS 1.1 uit te schakelen en TLS 1.2 in te schakelen:

1. Open het Startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ dit script en druk op Enter:

$base = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols"

$disableProtocols = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1")

$enableProtocols = @("TLS 1.2")

foreach ($protocol in $disableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 1 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 1 -Type DWord

}

foreach ($protocol in $enableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 0 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 0 -Type DWord

}

4. Start de computer opnieuw op om de wijzigingen door te voeren.

Volg deze stappen om te controleren of de wijzigingen zijn doorgevoerd:

1. Open het Startmenu en zoek naar Opdrachtprompt.
2. Klik met de rechtermuisknop op Opdrachtprompt > Als administrator uitvoeren.
3. Typ deze opdracht en druk op Enter:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"

Methode 2: instellingen toepassen via Groepsbeleid

Er is geen native GPO-instelling waarmee u TLS-versies kunt afdwingen. U kunt de benodigde registersleutels wel via Groepsbeleid aanmaken met deze stappen:

1. Open het Startmenu en zoek naar Groepsbeleid bewerken om het programma te openen.
2. Ga naar dit adres: Computerconfiguratie > Voorkeuren > Windows-instellingen > Register.
3. Maak via dit pad HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols de volgende sleutels aan:

• • SSL 2.0 - Server - Enabled (DWORD) = 0
  • SSL 2.0 - Server - DisabledByDefault (DWORD) = 1
  • SSL 2.0 - Client - Enabled (DWORD) = 0
  • SSL 2.0 - Client - DisabledByDefault (DWORD) = 1
  • SSL 3.0 - Server - Enabled (DWORD) = 0
  • SSL 3.0 - Server - DisabledByDefault (DWORD) = 1
  • SSL 3.0 - Client - Enabled (DWORD) = 0
  • SSL 3.0 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.0 - Server - Enabled (DWORD) = 0
  • TLS 1.0 - Server - DisabledByDefault (DWORD) = 1
  • TLS 1.0 - Client - Enabled (DWORD) = 0
  • TLS 1.0 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.1 - Server - Enabled (DWORD) = 0
  • TLS 1.1 - Server - DisabledByDefault (DWORD) = 1
  • TLS 1.1 - Client - Enabled (DWORD) = 0
  • TLS 1.1 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.2 - Server - Enabled (DWORD) = 1
  • TLS 1.2 - Server - DisabledByDefault (DWORD) = 0
  • TLS 1.2 - Client - Enabled (DWORD) = 1
  • TLS 1.2 - Client - DisabledByDefault (DWORD) = 0

💡Let op: dit is optioneel. U kunt naar Computerconfiguratie > Beheersjablonen > Netwerk > SSL-configuratie-instellingen gaan en het beleid Volgorde van SSL-coderingssuite aanpassen. Verwijder de zwakke en verouderde ciphers om de beveiliging van uw device verder te versterken.

Methode 3: TLS-handhaving controleren via PowerShell en logboeken

1. Open het Startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ dit script en druk op Enter om de TLS-verbinding te testen:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

Invoke-WebRequest -Uri "https://www.howsmyssl.com/a/check" -UseBasicParsing

4. Dit genereert een JSON-bestand. Controleer daarin welke protocolversie is gebruikt.

Volg deze stappen om de logboeken te controleren met Logboeken:

1. Open het Startmenu en zoek naar Logboeken om het programma te openen.
2. Ga naar dit adres: Logboeken > Windows-logboeken > Systeem.
3. Zoek naar de logboekvermeldingen met de bron SChannel.
4. Daaronder zouden vermeldingen met gebeurtenis-ID 36874 en 36888 moeten staan als er mislukte of gedowngrade pogingen zijn.

Volg deze stappen om met de Opdrachtprompt de status van deze registersleutels te controleren:

1. Open het Startmenu en zoek naar Opdrachtprompt.
2. Klik met de rechtermuisknop op Opdrachtprompt > Als administrator uitvoeren.
3. Typ deze opdracht en druk op Enter:

reg query HKLM\SOFTWARE\Org\TLSAudit

Gebruik een RMM-tool om regelmatig op deze sleutel te scannen op al uw beheerde devices.

Methode 4: applicaties die nog verouderde TLS gebruiken herstellen of monitoren

Met Windows PowerShell kunt u .NET-applicaties scannen op TLS-handhaving. Volg daarvoor deze stappen:

1. Open het Startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Typ dit script en druk op Enter:

Get-ChildItem -Path "C:\inetpub\wwwroot", "C:\Program Files" -Recurse -Include *.config |

Select-String -Pattern "SecurityProtocolType"

4. Hiermee wordt het encryptieprotocol van de applicatie weergegeven. Markeer de applicaties die nog TLS 1.0/1.1 gebruiken.
5. Zijn er uitzonderingen op de TLS 1.2-vereiste? Dan kunt u die informatie met dit script vastleggen in het Windows-register:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TLSAudit" -Name "Exceptions" -Value "LegacyBackupApp"

⚠️ Problemen oplossen

Aandachtspunten bij het afdwingen van TLS 1.2 en het uitschakelen van verouderde encryptieprotocollen

• TLS 1.3 is beschikbaar. Het wordt echter alleen ondersteund in specifieke versies van Windows 10/11 en Windows Server 2022.
• Sommige applicaties werken niet als TLS 1.0/1.1 is uitgeschakeld. Test alles voordat u de uitrol definitief maakt.
• Zorg ervoor dat ook de browsers TLS 1.2 ondersteunen en afdwingen.
• Neem de TLS-audit op in uw checklist voor endpoint-verharding en in de documentatie van uw QBR (Quarterly Business Review).

NinjaOne-diensten voor het inschakelen van TLS 1.2 en het uitschakelen van verouderde encryptieprotocollen

NinjaOne helpt u TLS 1.2-compliance af te dwingen en te valideren:

Schakel TLS 1.2 in op al uw beheerde devices en volg de aanbevolen beveiligingspraktijken

Het afdwingen van TLS 1.2+ en het uitschakelen van onveilige protocollen versterkt de eindpuntbeveiliging, ondersteunt compliance en verkleint het aanvalsoppervlak. Toch hebben sommige applicaties mogelijk nog verouderde encryptiemethoden nodig. Daarom is het essentieel dat beheerders hun beheerde devices goed monitoren en controleren of alles voldoet aan de behoeften en eisen van de organisatie.

Gerelateerde artikelen:

• Wat is een TLS-handshake en hoe werkt die?
• Wat is een TLS-handshake en hoe werkt die?
• Wat is handshaking?
• PowerShell-scripting voor IT-professionals: zwakke SSL/TLS-ciphers eenvoudig uitschakelen