TLS 1.0을 비활성화해야하는 PCI-DSS 3.1을 준수해야하므로 며칠 동안이 문제를 검토했습니다.

또한 주요 보안 문제인 RDP 보안 계층으로 돌아가고 싶지 않습니다.

마지막으로 RDP에서 TLS 1.1 및 TLS 1.2가 지원되는지 확인하는 문서를 찾았습니다. 이 문서는 SChannel 로깅 과 RDP에 대한 매우 상세한 사양에 숨겨져 있습니다 .

Technet 또는 다른 Microsoft 사이트에는 주류 문서가 완전히 부족하므로 여기에 문서화하면 일부 사람들에게 도움이 될 것입니다.

제공된 링크에서 관련 추출 :

MSDN 링크에서 :

"RDP supports four External Security Protocols: TLS 1.0 ([RFC2246]) TLS 1.1 ([RFC4346])<39>, TLS 1.2 ([RFC5246])<40>"

RDP 사양 PDF에서 :

"When Enhanced RDP Security is used, RDP traffic is no longer protected by using the techniques
described in section 5.3. Instead, all security operations (such as encryption and decryption, data
integrity checks, and Server Authentication) are implemented by one of the following External
Security Protocols:
TLS 1.0 (see [RFC2246])
TLS 1.1 (see [RFC4346])
TLS 1.2 (see [RFC5246])
CredSSP (see [MS-CSSP])"

"<39> Section 5.4.5: TLS 1.1 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista and Windows Server 2008.
<40> Section 5.4.5:  TLS 1.2 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista, and Windows Server 2008"

따라서이 설명서에 따라 Windows Server 2008 R2에서 TLS 1.1 또는 1.2를 사용할 수 있다고 결론 지을 수 있습니다.

그러나 TLS 1.0이 비활성화되고 RDP 보안 옵션이 TLS 1.0을 요구하도록 설정된 경우 Windows 7 RDP 클라이언트 (버전 6.3.9600)에서는이 기능이 작동하지 않는 것으로 테스트되었습니다.

물론 이것은 2008R2에서 기본적으로 해제 된 TLS 1.1 및 1.2를 활성화하는 것입니다. 우연히 우리는 Nartac Software 의 매우 유용한 IIS Crypto Tool을 사용하여이 작업을 수행합니다 .

이 문제를 볼 때 SChannel 로깅을 활성화하면 세션을 열 때 발생하는 상황에 대한 자세한 내용을 볼 수 있습니다.

HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ EventLogging 키를 5로 변경하고 재부팅하여 SChannel 로깅 을 설정할 수 있습니다 .

이 작업이 완료되면 RDP 연결시 사용중인 TLS 버전을 보여주는 SChannel 이벤트를 관찰 할 수 있습니다. 로깅이 활성화되면 RDP 클라이언트가 TLS 1.0이 비활성화 된 Windows 2008 R2에서 연결을 시도 할 때 SChannel 오류를 관찰 할 수 있습니다.

A fatal error occurred while creating an SSL server credential. The internal error state is 10013.

또한 Windows Server 2012 및 2012 R2에서 TLS 1.0 비활성화를 테스트했으며 Windows 7 RDP 클라이언트를 사용하여 완벽하게 작동하는지 확인할 수 있습니다. SChannel 로그 항목은 사용중인 TLS 1.2를 보여줍니다.

An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.

   Protocol: TLS 1.2
   CipherSuite: 0xC028
   Exchange strength: 256

나는 이것이 이것에 대한 설명을 찾고있는 누군가를 돕기를 바랍니다.

Windows Server 2008 R2에서 RDP가 TLS 1.1 및 TLS 1.2에서 작동하도록하는 방법을 계속 찾을 것입니다.

업데이트 : 2015-AUG-05

재현 단계를 포함하여 Microsoft 지원을 통해 Server 2008 R2와 작동하지 않는 RDP 문제가 제기되었습니다.

몇 주 앞뒤로 우리는 마침내 지원 팀으로부터 전화를 받아 실제로 그것을 재현 할 수 있다는 사실을 인정했으며 이제 버그로 분류되었습니다. 업데이트 패치는 2015 년 10 월에 예정된 시점에 릴리스 될 예정입니다. KB 기사 나 기타 세부 정보가 제공되는 즉시이 게시물에 추가하겠습니다.

패치가 릴리스되면 2016 년 6 월 마감일 전에 Windows Server 2008 R2에 갇힌 사람들은 적어도이 문제를 해결할 수 있기를 바랍니다.

업데이트 : 2015 년 9 월 19 일

Microsoft는 마침내 여기 에 대한 kb 지원 기사를 발표했으며 정상적으로 작동하는지 확인할 수 있습니다.

답변

Admin Tools\Remote Desktop Services\Remote Desktop Session Host Configuration, RDP-Tcp, General Tab, Security Layer