Como aplicar o TLS 1.2 e desativar protocolos de criptografia legados via Registro ou GPO

O Transport Layer Security (TLS) 1.2 é o protocolo de criptografia padrão usado para proteger dados transmitidos entre diferentes dispositivos. Versões antigas, como SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1, foram descontinuadas por causa de vulnerabilidades conhecidas e precisam ser desativadas.

Manter o protocolo de criptografia atualizado protege os dados em trânsito contra ataques de downgrade e conjuntos de cifras inseguros. Também garante que os dispositivos atendam aos protocolos de segurança padrão e aos frameworks de conformidade modernos. Assim, os administradores reduzem a superfície de ataque de ransomware e ajudam a diminuir as interrupções de serviço.

Aprofunde seu conhecimento no assunto! Assista ao nosso vídeo: Como aplicar o TLS 1.2 e desativar protocolos de criptografia legados via Registro ou GPO.

Guia para aplicar o TLS 1.2 em todos os dispositivos gerenciados

Os protocolos de criptografia TLS podem ser ativados no Registro do Windows pelo Windows PowerShell ou por Políticas de Grupo. Os administradores conseguem confirmar essas alterações com o PowerShell ou o Visualizador de Eventos.

Também dá para marcar o status de criptografia dos dispositivos gerenciados usando o Registro do Windows. E, para aplicativos que ainda exigem protocolos de criptografia legados, essas configurações podem ser gerenciadas pelo Windows PowerShell.

📌 Pré-requisitos:

• É necessário Windows 8.1/10/11 ou Windows Server 2012 R2 ou mais recente.
• É necessário acesso de administrador em todos os dispositivos que pretende modificar.
• PowerShell 5.1 ou superior é obrigatório.
• Testes locais de aplicativos legados podem depender de protocolos antigos. Leve isso em conta antes de atualizar o protocolo de criptografia desses aplicativos.

💡Observação: também é possível usar uma ferramenta de gerenciamento de endpoints como NinjaOne para implantar, verificar e monitorar a aplicação das configurações.

📌 Estratégias de implantação recomendadas:

Método 1: alterar as configurações do Registro para aplicar o TLS 1.2 e desativar os protocolos legados

Os protocolos de criptografia podem ser gerenciados pelo Registro do Windows. As chaves de Registro relevantes ficam em HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

Para desativar SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1 e ativar o TLS 1.2, siga estas etapas:

1. Abra o Menu Iniciar e pesquise por Windows PowerShell.
2. Clique com o botão direito em Windows PowerShell > Executar como administrador.
3. Digite este script e pressione Enter:

$base = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols"

$disableProtocols = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1")

$enableProtocols = @("TLS 1.2")

foreach ($protocol in $disableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 1 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 1 -Type DWord

}

foreach ($protocol in $enableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 0 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 0 -Type DWord

}

4. Reinicie o computador para aplicar as alterações.

Para validar se as alterações foram feitas, siga estas etapas:

1. Abra o Menu Iniciar e pesquise por Prompt de Comando.
2. Clique com o botão direito em Prompt de Comando > Executar como administrador.
3. Digite este comando e pressione Enter:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"

Método 2: aplicar as configurações via Política de Grupo

Não existe uma configuração nativa de GPO que permita aplicar versões do TLS. Mas dá para criar as chaves de Registro necessárias por Políticas de Grupo seguindo estas etapas:

1. Abra o Menu Iniciar e pesquise por Editar Política de Grupo para abrir o programa.
2. Navegue até este caminho: Configuração do Computador > Preferências > Configurações do Windows > Registro.
3. Usando este caminho HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols, crie as seguintes chaves:

• • SSL 2.0 - Server - Enabled (DWORD) = 0
  • SSL 2.0 - Server - DisabledByDefault (DWORD) = 1
  • SSL 2.0 - Client - Enabled (DWORD) = 0
  • SSL 2.0 - Client - DisabledByDefault (DWORD) = 1
  • SSL 3.0 - Server - Enabled (DWORD) = 0
  • SSL 3.0 - Server - DisabledByDefault (DWORD) = 1
  • SSL 3.0 - Client - Enabled (DWORD) = 0
  • SSL 3.0 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.0 - Server - Enabled (DWORD) = 0
  • TLS 1.0 - Server - DisabledByDefault (DWORD) = 1
  • TLS 1.0 - Client - Enabled (DWORD) = 0
  • TLS 1.0 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.1 - Server - Enabled (DWORD) = 0
  • TLS 1.1 - Server - DisabledByDefault (DWORD) = 1
  • TLS 1.1 - Client - Enabled (DWORD) = 0
  • TLS 1.1 - Client - DisabledByDefault (DWORD) = 1
  • TLS 1.2 - Server - Enabled (DWORD) = 1
  • TLS 1.2 - Server - DisabledByDefault (DWORD) = 0
  • TLS 1.2 - Client - Enabled (DWORD) = 1
  • TLS 1.2 - Client - DisabledByDefault (DWORD) = 0

💡Observação: esta etapa é opcional. Vá em Configuração do Computador > Modelos Administrativos > Rede > Definições de Configuração SSL e altere a política Ordem do Conjunto de Codificação SSL. Remova as cifras fracas e desatualizadas para reforçar ainda mais a segurança do dispositivo.

Método 3: confirmar a aplicação do TLS com PowerShell e logs

1. Abra o Menu Iniciar e pesquise por Windows PowerShell.
2. Clique com o botão direito em Windows PowerShell > Executar como administrador.
3. Para testar a conexão TLS, digite este script e pressione Enter:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

Invoke-WebRequest -Uri "https://www.howsmyssl.com/a/check" -UseBasicParsing

4. Isso gera um arquivo JSON. Consulte-o para ver a versão do protocolo usada.

Para checar os logs no Visualizador de Eventos, siga estas etapas:

1. Abra o Menu Iniciar e pesquise por Visualizador de Eventos para abrir o programa.
2. Navegue até este caminho: Visualizador de Eventos > Logs do Windows > Sistema.
3. Procure os logs com origem SChannel.
4. Ali devem aparecer logs com as IDs de evento 36874 e 36888 caso existam tentativas com falha ou rebaixadas.

Para usar o Prompt de Comando e checar o status dessas chaves de Registro, siga estas etapas:

1. Abra o Menu Iniciar e pesquise por Prompt de Comando.
2. Clique com o botão direito em Prompt de Comando > Executar como administrador.
3. Digite este comando e pressione Enter:

reg query HKLM\SOFTWARE\Org\TLSAudit

Use uma ferramenta de RMM para verificar essa chave regularmente em todos os dispositivos gerenciados.

Método 4: corrigir ou monitorar aplicativos que ainda usam TLS legado

Dá para usar o Windows PowerShell para verificar a aplicação do TLS em aplicativos .NET seguindo estas etapas:

1. Abra o Menu Iniciar e pesquise por Windows PowerShell.
2. Clique com o botão direito em Windows PowerShell > Executar como administrador.
3. Digite este script e pressione Enter:

Get-ChildItem -Path "C:\inetpub\wwwroot", "C:\Program Files" -Recurse -Include *.config |

Select-String -Pattern "SecurityProtocolType"

4. Isso mostra o protocolo de criptografia do aplicativo. Sinalize os aplicativos que ainda usam TLS 1.0/1.1.
5. Se houver exceções à exigência do TLS 1.2, registre essa informação no Registro do Windows aplicando este script:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TLSAudit" -Name "Exceptions" -Value "LegacyBackupApp"

⚠️ Solução de problemas

Outros pontos de atenção ao aplicar o TLS 1.2 e desativar protocolos de criptografia legados

• O TLS 1.3 já está disponível. Mas só tem suporte em versões específicas do Windows 10/11 e no Windows Server 2022.
• Alguns aplicativos param de funcionar se o TLS 1.0/1.1 for desativado. Teste tudo antes de concluir a implantação.
• Confirme que os navegadores também têm suporte e aplicam o TLS 1.2.
• Inclua a auditoria de TLS na sua lista de verificação de hardening de endpoints e na documentação da revisão trimestral de negócios.

Recursos do NinjaOne para ativar o TLS 1.2 e desativar protocolos de criptografia legados

NinjaOne ajuda a aplicar e validar a conformidade com o TLS 1.2 assim:

Ative o TLS 1.2 em todos os dispositivos gerenciados e aplique as recomendações de segurança

Aplicar o TLS 1.2+ e desativar protocolos inseguros reforça a segurança de endpoint, apoia a conformidade e reduz a superfície de ataque. Ainda assim, alguns aplicativos podem precisar de métodos de criptografia legados. Por isso, é essencial que os administradores monitorem bem os dispositivos gerenciados e garantam que tudo atenda às necessidades e aos requisitos da organização.

Artigos relacionados:

• O que é um handshake TLS e como ele funciona?
• O que é um handshake TLS e como ele funciona?
• O que é handshaking?
• Scripts em PowerShell para profissionais de TI: desativar cifras SSL/TLS fracas de forma simples