SSL漏洞解决办法 windows

上个月我帮一家小公司修服务器，洞解他们的决办网银页面在IE里直接弹“证书错误”，客户差点把电脑砸了。洞解问题出在SSL协议版本太老——Windows Server 2008默认还开着SSL 3.0，决办这玩意儿2014年就被爆出POODLE漏洞，洞解黑客能直接解密HTTPS流量。决办别慌，洞解解决办法分三步，决办每一步都够直接。洞解

第一步，决办关掉老协议，洞解开TLS 1.2。决办打开注册表编辑器（Win+R输入regedit），洞解定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols。决办右键新建“项”，洞解命名为“SSL 3.0”，再在它下面建两个子项“Client”和“Server”，分别新建DWORD值“Enabled”，数值数据设为0。同理，把TLS 1.0和TLS 1.1也关掉——别心软，现在连银行都强制TLS 1.2了。然后新建“TLS 1.2”项，同样建Client和Server子项，这次Enabled设为1，再补一个“DisabledByDefault”设为0。改完重启，用netsh trace抓包看握手，你会发现协议版本直接跳到0x0303。

第二步，修完协议修证书链。很多人忽略这点：Windows自带的根证书更新机制经常抽风，尤其是离线服务器。我见过一台机器信任了过期三年的根证书，结果所有客户端都报“不受信任”。别依赖自动更新，手动去微软CA列表下载最新根证书，用certlm.msc导入“受信任的根证书颁发机构”。注意，导入前先删掉旧的同名称证书——别怕，删错能重新导入，但留着旧的会继续引发握手失败。

第三步，处理弱密码套件。Windows的SCHANNEL默认支持RC4，这算法2015年就被RFC 7465禁止了。打开组策略编辑器（gpedit.msc），计算机配置→管理模板→网络→SSL配置设置，双击“SSL密码套件顺序”，启用后把列表里所有含RC4、DES、3DES的套件删干净。留什么？至少保留TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256和TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384，前者兼容性最好，后者安全性更高。改完用Nmap的ssl-enum-ciphers脚本扫一遍，看到“least strength: A”才算过关。

最后提醒个坑：改完SSL设置后，IIS和SQL Server的加密连接会暂时失效。别急着骂我，先跑iisreset /restart，再检查事件查看器里Schannel日志有没有36888或36874错误。如果还有程序报错，多半是它写死了旧协议——比如老Java 6应用，那只能给该程序单独开TLS 1.0白名单，但别全局开。另外，Windows 7用户注意，TLS 1.2默认没启用，得先打KB3140245补丁，否则上面改注册表全白搭。

按这个流程走，半小时能搞定一台机器。别信那些一键修复工具，它们改注册表改一半就闪退，我见过最惨的一台服务器被改得连RDP都连不上。手动改完记得导出注册表备份，出问题一键还原。要是你在域环境里，用组策略下发这些设置更省事——但前提是域控本身得是2012 R2以上，否则策略不生效。

(责任编辑：娱乐)