Я изучал это в течение нескольких дней, так как мы должны соблюдать PCI-DSS 3.1, который требует отключения TLS 1.0.
Мы также не хотим возвращаться к уровню безопасности RDP, который является серьезной проблемой безопасности.
Мне наконец удалось найти некоторую документацию, которая подтверждает, что TLS 1.1 и TLS 1.2 поддерживаются RDP. Эта документация скрыта в журнале SChannel и очень подробной спецификации для RDP .
Существует полное отсутствие документации основного потока на Technet или других сайтах Microsoft, и я надеюсь, что документирование этого может помочь некоторым людям.
Соответствующие выдержки из предоставленных ссылок:
Из ссылки MSDN:
"RDP supports four External Security Protocols: TLS 1.0 ([RFC2246]) TLS 1.1 ([RFC4346])<39>, TLS 1.2 ([RFC5246])<40>"
Из спецификации RDP PDF:
"When Enhanced RDP Security is used, RDP traffic is no longer protected by using the techniques
described in section 5.3. Instead, all security operations (such as encryption and decryption, data
integrity checks, and Server Authentication) are implemented by one of the following External
Security Protocols:
TLS 1.0 (see [RFC2246])
TLS 1.1 (see [RFC4346])
TLS 1.2 (see [RFC5246])
CredSSP (see [MS-CSSP])"
"<39> Section 5.4.5: TLS 1.1 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista and Windows Server 2008.
<40> Section 5.4.5: TLS 1.2 is not supported by Windows NT, Windows 2000 Server, Windows XP,
Windows Server 2003, Windows Vista, and Windows Server 2008"
Поэтому можно сделать вывод, что вы можете использовать TLS 1.1 или 1.2 на Windows Server 2008 R2 в соответствии с этой документацией.
Однако наше тестирование доказало, что это НЕ работает с клиентом RDP для Windows 7 (версия 6.3.9600), когда TLS 1.0 отключен и для параметра безопасности RDP установлено требование TLS 1.0.
Это, конечно, так же как и включение TLS 1.1 и 1.2, которые по умолчанию отключены на 2008R2 - кстати, мы делаем это с помощью очень полезного IIS Crypto Tool от Nartac Software .
При рассмотрении этой проблемы полезно включить ведение журнала SChannel, чтобы увидеть более подробную информацию о том, что происходит при открытии сеанса.
Вы можете установить логирование SChannel , изменив ключ HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Control \ SecurityProviders \ SCHANNEL \ EventLogging на 5 и перезагрузившись.
Как только это будет сделано, вы можете наблюдать события SChannel, которые показывают версию TLS, используемую при установлении соединения RDP. Как только ведение журнала включено, вы можете наблюдать ошибку SChannel, когда клиент RDP пытается установить соединение в Windows 2008 R2 с отключенным TLS 1.0:
A fatal error occurred while creating an SSL server credential. The internal error state is 10013.
Я также протестировал отключение TLS 1.0 на Windows Server 2012 и 2012 R2, которое, как я могу подтвердить, прекрасно работает с помощью клиента Windows 7 RDP. Запись журнала SChannel показывает, что используется TLS 1.2:
An SSL server handshake completed successfully. The negotiated cryptographic parameters are as follows.
Protocol: TLS 1.2
CipherSuite: 0xC028
Exchange strength: 256
Я надеюсь, что это помогает кому-то, кто ищет разъяснения по этому вопросу.
Я продолжу искать, как мы могли бы заставить RDP работать над TLS 1.1 и TLS 1.2 в Windows Server 2008 R2.
ОБНОВЛЕНИЕ: 2015-АВГУСТ-05
Мы подняли вопрос о том, что RDP не работает с Server 2008 R2 с поддержкой Microsoft, включая шаги по воспроизведению.
После нескольких недель назад и вперед мы наконец-то получили сегодня телефонный звонок от службы поддержки, чтобы подтвердить, что они действительно могут воспроизвести его, и теперь это классифицируется как ошибка. Обновление патча будет выпущено, на данный момент ожидается это в октябре 2015 года. Как только у меня появится статья в КБ или другие подробности, я добавлю их в этот пост.
Надеемся, что те, кто застрял с Windows Server 2008 R2, смогут, по крайней мере, решить эту проблему до крайнего срока, установленного в июне 2016 года, после выпуска патча.
ОБНОВЛЕНИЕ: 19 сентября 2015
Microsoft наконец-то выпустила статью поддержки об этом здесь, и я могу подтвердить, что она работает нормально.