XP POSReady 和 TLS 1.2

Question

在安装了微软发布的 KB4019276 - https://support.microsoft.com/en-us/help/4019276/update-to-add-support-for-t 1-1-and-tls-1-2-in-windows ）并在注册表中启用它。

我非常简单的测试代码是：

Option Explicit

Const   WinHttpRequestOption_SecureProtocols = 9
Const   SecureProtocol_SSL2 = 8, SecureProtocol_SSL3 = 32, _
        SecureProtocol_TLS1 = 128, SecureProtocol_TLS1_1 = 512, _
        SecureProtocol_TLS1_2 = 2048

Dim objHTTP
Set objHTTP = CreateObject("WinHttp.WinHttprequest.5.1")
objHTTP.open "GET", "https://www.howsmyssl.com/a/check", False
objHTTP.Option(WinHttpRequestOption_SecureProtocols) = SecureProtocol_TLS1_2
objHTTP.Send
If objHTTP.WaitForResponse(30) Then 'wait up to 30 seconds
    WScript.Echo "Status : " & objHTTP.Status & "<br />"
    WScript.Echo "Response Length : " & LenB(objHTTP.ResponseBody)
    WScript.Echo "Response Text : " & objHTTP.ResponseText
Else
    WScript.Write "Request timed out"
End If
Set objHTTP = Nothing

但任何超过 TLS 1.0 的东西都给了我错误：

Invalid argument for Option

同时，禁用 SSL 2.0、SSL 3.0 和 TLS 1.0 我收到关于无法协商安全协议的错误。

有什么建议吗？

谢谢你。

Answer 1

如果我的实验Winxp sp3上确实存在相同的问题（包括所有进一步的更新）。 我发现WINHTTP.DLL仍然不包含API调用函数SECUREPROTOCOL_TLS1_1以及SECUREPROTOCOL_TLS1_2。 导致“无效选项”错误。

因此，标准XP系统不支持此语法！
（winhttp.dll无法更新）。 只有EmbeddedXP可能已经获得了接受此选项的更新的winhttp.dll文件。

我现在努力以某种方式获得更新的不祥的winhttp.dll。

结果将在此处报告。

Answer 2

这是应用 KB4019276 后ssllabs 客户端测试的样子

Protocols

TLS 1.3                                     No
TLS 1.2                                     Yes*
TLS 1.1                                     Yes*
TLS 1.0                                     Yes*
SSL 3                                       Yes*
SSL 2                                       No          


Cipher Suites (in order of preference)

TLS_RSA_WITH_AES_256_CBC_SHA256 (0x3d)      WEAK      256
TLS_RSA_WITH_AES_128_CBC_SHA256 (0x3c)      WEAK      128
TLS_RSA_WITH_AES_256_CBC_SHA (0x35)         WEAK      256
TLS_RSA_WITH_AES_128_CBC_SHA (0x2f)         WEAK      128
TLS_RSA_WITH_RC4_128_MD5 (0x4)              INSECURE  128
TLS_RSA_WITH_RC4_128_SHA (0x5)              INSECURE  128
TLS_RSA_WITH_3DES_EDE_CBC_SHA (0xa)         WEAK      112
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256 (0x6a)  WEAK      256
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 (0x40)  WEAK      128
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x13)    WEAK      112


Protocol Details        

Server Name Indication (SNI)                No          
Secure Renegotiation                        Yes                 
TLS compression                             No      
Session tickets                             No      
OCSP stapling                               No                  
Signature algorithms                        SHA256/RSA, SHA384/RSA, SHA1/RSA, SHA1/DSA, SHA512/RSA                                  
Named Groups                                -                        
Next Protocol Negotiation                   No          
Application Layer Protocol Negotiation      No      
SSL 2 handshake compatibility               No      

没有 ECDHE 协商密码套件，因此一切都被视为弱或完全不安全。

Answer 3

民间。 自2018年2月18日起已重新发布在XP中启用TLS 1.2的相关更新。（KB4019276）。 从MS UpdateCatalog下载。 这是对2017年10月（显然是错误的）初始版本的更正。现在可以正常使用！

IE8中的功能：启用TLS 1.2

还包括：TLS会话票证支持

新的可用套件（howsmyssl.com，ssllabs）：

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256（0xc02b）FS 128 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256（0xc02f）FS 128 TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256（0xcca9）FS 256 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256（0xcca8）FS 256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA（0xc00a）FS 256 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA（0xc009）FS 128 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA（0xc013）FS 128 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA（0xc014）FS 256 TLS_DHE_RSA_WITH_AES_128_CBC_SHA（ 0x33）FS 128 TLS_DHE_RSA_WITH_AES_256_CBC_SHA（0x39）FS 256

EC支持的命名组：secp256r1，secp384r1，secp521r1

亲切的问候！

伯恩德