[.net] SSL 폴백을 비활성화하고 .NET의 아웃 바운드 연결에 TLS 만 사용 하시겠습니까? (푸들 완화)

@Eddie Loeffen의 답변이이 질문에 대한 가장 인기있는 답변 인 것 같지만 장기적으로 나쁜 영향을 미칩니다. 여기서 System.Net.ServicePointManager.SecurityProtocol에 대한 설명서 페이지를 검토하는 경우 비고 섹션은 협상 단계에서이 문제를 해결해야 함을 의미합니다 (향후 TLS 1.2도 손상 될 것이기 때문에 프로토콜을 강제하는 것은 좋지 않습니다). 그러나 만약 그렇다면 우리는이 대답을 찾지 않을 것입니다.

조사 결과 협상 단계에서 TLS1.2에 도달하려면 ALPN 협상 프로토콜이 필요한 것으로 보입니다. 이를 시작점으로 삼아 지원이 시작되는 위치를 확인하기 위해 .Net 프레임 워크의 최신 버전을 시도했습니다. .Net 4.5.2는 TLS 1.2에 대한 협상을 지원하지 않지만 .Net 4.6은 지원합니다.

따라서 TLS1.2를 강제 적용하면 이제 작업이 완료되지만 대신 .Net 4.6으로 업그레이드하는 것이 좋습니다. 이것은 2016 년 6 월 PCI DSS 문제이므로 기간은 짧지 만 새로운 프레임 워크가 더 나은 답입니다.

업데이트 : 주석에서 일하면서 이것을 만들었습니다.

ServicePointManager.SecurityProtocol = 0;
foreach (SecurityProtocolType protocol in SecurityProtocolType.GetValues(typeof(SecurityProtocolType)))
    {
        switch (protocol)
        {
            case SecurityProtocolType.Ssl3:
            case SecurityProtocolType.Tls:
            case SecurityProtocolType.Tls11:
                break;
            default:
                ServicePointManager.SecurityProtocol |= protocol;
            break;
        }
    }

개념의 유효성을 검사하기 위해 SSL3과 TLS1.2를 함께 사용하고 TLS 1.0 및 TLS 1.2 만 지원하는 서버를 대상으로 코드를 실행했습니다 (1.1은 비활성화 됨). or’d 프로토콜을 사용하면 제대로 연결되는 것 같습니다. SSL3 및 TLS 1.1로 변경하면 연결에 실패했습니다. 내 유효성 검사는 System.Net의 HttpWebRequest를 사용하고 GetResponse ()를 호출합니다. 예를 들어, 나는 이것을 시도했지만 실패했습니다.

        HttpWebRequest request = WebRequest.Create("https://www.contoso.com/my/web/resource") as HttpWebRequest;
        ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls11;
        request.GetResponse();

이것이 작동하는 동안 :

        HttpWebRequest request = WebRequest.Create("https://www.contoso.com/my/web/resource") as HttpWebRequest;
        ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls12;
        request.GetResponse();

이것은 Enum에 더 많은 항목이 있도록 .Net 프레임 워크가 업그레이드되면 코드에서 그대로 지원된다는 점에서 TLS 1.2를 강제하는 것보다 이점이 있습니다. 4.6은 ALPN을 사용하고 제한이 지정되지 않은 경우 새 프로토콜을 지원해야한다는 점에서 .Net 4.6을 사용하는 것보다 단점이 있습니다.

2019 년 4 월 29 일 편집-Microsoft는 지난 10 월 이 기사를 게시 했습니다 . 다양한 버전의 .net 프레임 워크에서이 작업을 수행하는 방법에 대한 권장 사항에 대한 꽤 좋은 개요가 있습니다.

답변

  static void Main(string[] args)
    {
        ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
       //other stuff here
    }

using System.Security.Principal 

// set proxy if you need to
// WebRequest.DefaultWebProxy = new WebProxy("http://localhost:3128");

File.WriteAllText("howsmyssl-httpclient.html", new HttpClient().GetStringAsync("https://www.howsmyssl.com").Result);

// alternative using WebClient for older framework versions
// new WebClient().DownloadFile("https://www.howsmyssl.com/", "howsmyssl-webclient.html");

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 | SecurityProtocolType.Tls11; 

System.Net.ServicePointManager.SecurityProtocol = (SecurityProtocolType)3072;
/* Note the property type
   [System.Flags]
   public enum SecurityProtocolType
   {
     Ssl3 = 48,
     Tls = 192,
     Tls11 = 768,
     Tls12 = 3072,
   }
*/

reg add HKLM\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 /v SchUseStrongCrypto /t REG_DWORD /d 1 /reg:32

reg add HKLM\SOFTWARE\Microsoft\.NETFramework\v4.0.30319 /v SchUseStrongCrypto /t REG_DWORD /d 1 /reg:64