Soporte de TLS 1.2 para Microsoft SQL Server

Se aplica a: SQL Server
Número de KB original: 3135244

Resumen

En este artículo se describe la compatibilidad con TLS 1.2 para Microsoft SQL Server. Enumera las compilaciones de SQL Server que habilitan TLS 1.2 del lado servidor, los controladores de cliente y los proveedores que admiten TLS 1.2, las actualizaciones de .NET Framework de las que dependen las características de SQL Server y los errores más comunes que puede ver cuando se requiere TLS 1.2, pero los componentes no están actualizados. SQL Server 2016, SQL Server 2017, SQL Server 2019 y SQL Server 2022 admiten TLS 1.2 de forma nativa y no necesitan una actualización independiente. Las versiones no estándar (SQL Server 2008, 2008 R2, 2012 y 2014) necesitan las actualizaciones enumeradas en las tablas siguientes.

Existen vulnerabilidades conocidas en Secure Sockets Layer (SSL) y en las versiones anteriores de Transport Layer Security (TLS). Use TLS 1.2 (o TLS 1.3, donde se admita) para la comunicación segura. En las versiones actuales Windows cliente y Windows Server, TLS 1.0 y TLS 1.1 están deshabilitados de forma predeterminada, por lo que los componentes de cliente y servidor deben admitir TLS 1.2 o posterior para conectarse.

Compruebe si necesita esta actualización.

Use la tabla siguiente para comprobar si la versión actual de SQL Server ya admite TLS 1.2 o si necesita instalar una actualización para habilitar la compatibilidad con TLS 1.2. Use los vínculos de descarga de la tabla para obtener las actualizaciones del servidor que se aplican a su entorno.

Descargas de componentes de cliente

Use la tabla siguiente para descargar los componentes de cliente y las actualizaciones de controladores que son aplicables a su entorno.

Compatibilidad del controlador de cliente y del proveedor con TLS 1.2

La siguiente tabla resume la compatibilidad con TLS 1.2 en los controladores y proveedores de SQL Server:

Otras correcciones necesarias para SQL Server usar TLS 1.2

Instale las siguientes recopilaciones de revisiones de .NET para que las características de SQL Server que dependen de puntos de conexión de .NET puedan usar TLS 1.2. Algunos ejemplos incluyen Correo electrónico de base de datos y componentes de SSIS, como la tarea Servicio web.

Preguntas más frecuentes

¿SQL Server 2016 y versiones posteriores admiten TLS 1.1?

SQL Server 2016, SQL Server 2017 en Windows, SQL Server 2019 en Windows y SQL Server 2022 admiten TLS 1.0 a TLS 1.2. Las versiones de TLS que los clientes utilizan realmente dependen de las que el sistema operativo Windows subyacente tenga habilitadas. En las versiones de Windows actuales, TLS 1.0 y TLS 1.1 están deshabilitados de forma predeterminada. Si desea permitir solo TLS 1.2 (o posterior), deshabilite los protocolos anteriores en Schannel.

¿SQL Server 2019 permite conexiones que usan TLS 1.0 o 1.1, o solo 1.2?

SQL Server 2019 tiene el mismo nivel de compatibilidad con TLS que SQL Server 2016 y SQL Server 2017. SQL Server RTM 2019 se incluye con compatibilidad con TLS 1.2 y no se necesita ninguna otra actualización o corrección para habilitarlo. La configuración de Schannel en el sistema operativo controla qué versiones de TLS pueden usar realmente los clientes.

¿El TDS se ve afectado por vulnerabilidades conocidas?

No existen vulnerabilidades conocidas para la implementación de Microsoft TDS. Dado que varias organizaciones de cumplimiento de estándares exigen el uso de TLS 1.2 para los canales de comunicación cifrados, Microsoft está liberando compatibilidad con TLS 1.2 para la base de instalación de SQL Server generalizada.

¿Cómo Microsoft distribuirá las actualizaciones de TLS 1.2 a los clientes?

En este artículo se proporcionan vínculos de descarga para las actualizaciones de cliente y servidor adecuadas que admiten TLS 1.2.

¿Es compatible TLS 1.2 con SQL Server 2005?

La compatibilidad con TLS 1.2 solo se ofrece para SQL Server 2008 y versiones posteriores.

¿Los clientes que no usan SSL/TLS se ven afectados si SSL 3.0 y TLS 1.0 están deshabilitados en el servidor?

Sí. SQL Server cifra el nombre de usuario y la contraseña durante la autenticación, incluso cuando no se usa un canal de comunicación seguro. La actualización tls 1.2 es necesaria para cualquier instancia de SQL Server en la que el único protocolo habilitado en el servidor sea TLS 1.2.

¿Qué versiones de Windows Server admiten TLS 1.2?

Windows Server 2008 R2 y versiones posteriores admiten TLS 1.2.

¿Cuál es la configuración correcta del Registro para habilitar TLS 1.2 para SQL Server comunicación?

La configuración correcta del Registro es la siguiente:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

Esta configuración es necesaria para equipos cliente y servidor. Las configuraciones DisabledByDefault y Enabled deben crearse en equipos cliente con Windows 7 y en servidores con Windows Server 2008 R2. En Windows 8 y versiones posteriores de los sistemas operativos cliente o el servidor de Windows Server 2012 y versiones posteriores de los sistemas operativos de servidor, TLS 1.2 ya debe estar habilitado. Si va a implementar una directiva de implementación para Windows Registro que debe ser independiente de la versión del sistema operativo, agregue las claves del Registro mencionadas a la directiva.

Además, si usa Correo electrónico de base de datos en SQL Server, también debe establecer las siguientes claves del Registro de .NET:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Problemas conocidos

SSMS, servidor de informes y administrador de informes no se pueden conectar después de aplicar la corrección de TLS 1.2

SQL Server Management Studio (SSMS), Report Server y el Administrador de informes no se conectan al motor de base de datos después de aplicar la corrección para SQL Server 2008, 2008 R2, 2012 o 2014. Se produce un error en el servidor de informes y el Administrador de informes y se devuelve el siguiente mensaje de error:

El servidor de informes no puede abrir una conexión a la base de datos del servidor de informes. Se necesita una conexión a la base de datos para todas las solicitudes y procesos" (rsReportServerDatabaseUnavailable)

Este problema se produce porque SSMS, el Administrador de informes y el Administrador de configuración de Reporting Services usan ADO.NET, y la compatibilidad de ADO.NET con TLS 1.2 solo está disponible en .NET Framework 4.6. Para versiones anteriores de .NET Framework, debe aplicar una actualización de Windows para que ADO.NET pueda admitir comunicaciones TLS 1.2 para el cliente. Las actualizaciones de Windows que habilitan la compatibilidad con TLS 1.2 en versiones anteriores del marco de .NET se muestran en la tabla de la sección Comprobar si necesita esta actualización.

Reporting Services Administrador de configuración se produce un error en el protocolo de enlace previo al inicio de sesión

Reporting Services Administrador de configuración notifica el siguiente mensaje de error incluso después de actualizar los proveedores de cliente a una versión que admita TLS 1.2:

No se pudo conectar al servidor: se estableció correctamente una conexión con el servidor, pero se produjo un error durante el protocolo de enlace previo al inicio de sesión.

Para solucionar este problema, cree manualmente la siguiente clave del Registro en el sistema que hospeda el Reporting Services Administrador de configuración:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

Se produce un error de comunicación de punto de conexión cifrado para grupos de disponibilidad, creación de reflejo de la base de datos o Service Broker

La comunicación cifrada del punto de conexión que usa TLS 1.2 falla cuando se usan comunicaciones cifradas para Grupos de disponibilidad, duplicación de la base de datos o Service Broker en SQL Server. Se registra un mensaje de error similar al siguiente en el registro de errores de SQL:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Para obtener más información sobre este problema, consulte FIX: la comunicación de punto de conexión cifrado con TLS 1.2 produce un error cuando se usa SQL Server.

Errores al instalar SQL Server 2012 o 2014 con TLS 1.2 habilitado

Se producen errores diferentes al intentar instalar SQL Server 2012 o SQL Server 2014 en un servidor con TLS 1.2 habilitado.

Para obtener más información, vea FIX: Error al instalar SQL Server 2012 o SQL Server 2014 en un servidor que tenga TLS 1.2 habilitado.

Se produce un error en la conexión cifrada para la creación de reflejo de la base de datos o los grupos de disponibilidad con un certificado MD5

Una conexión cifrada con la creación de reflejo de la base de datos o los grupos de disponibilidad no funciona cuando se usa un certificado después de deshabilitar todos los demás protocolos distintos de TLS 1.2. Es posible que vea uno o ambos de los siguientes mensajes de error.

Se registra un mensaje de error similar al siguiente en el registro de errores de SQL Server:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Se registra un mensaje de error similar al siguiente en el registro de eventos de Windows:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Este problema se produce porque los grupos de disponibilidad y la creación de reflejo de bases de datos requieren un certificado que no utilice algoritmos de hash de longitud fija, como MD5. Los algoritmos hash de longitud fija no se admiten en TLS 1.2.

Para obtener más información, consulte CORRECCIÓN: La comunicación mediante el algoritmo hash MD5 produce errores si SQL Server usa TLS 1.2.

Terminación intermitente del servicio SQL Server en SQL Server 2008 y 2008 R2

Las siguientes versiones del motor de base de datos de SQL Server se ven afectadas por el problema de terminación intermitente del servicio que se notifica en el artículo de Knowledge Base 3146034. Para protegerse del problema de terminación del servicio, instale las actualizaciones de TLS 1.2 para SQL Server que se mencionan en este artículo si la versión de SQL Server aparece en la tabla siguiente:

Correo electrónico de base de datos no funciona con TLS 1.2

Correo electrónico de base de datos falla con el siguiente error:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: no se pudo leer la información de configuración de correo de la base de datos. No se puede iniciar la sesión de correo.

Para obtener más información, consulte Otras correcciones necesarias para SQL Server usar TLS 1.2.

SCCM no se puede conectar a SQL Server después de habilitar TLS 1.2

System Center Configuration Manager (SCCM) no se puede conectar a SQL Server después de habilitar el protocolo TLS 1.2 en SQL Server. En esta situación, recibirá el siguiente mensaje de error:

Proveedor de TCP: Un host remoto forzó el cierre de la conexión existente.

Este problema puede producirse cuando SCCM usa un controlador de SQL Server Native Client que no tiene una corrección. Para corregir este problema, descargue e instale la corrección del cliente que aparece en la sección Descargas del componente cliente . Por ejemplo, Microsoft SQL Server 2012 Native Client : QFE.

Puede averiguar qué controlador usa SCCM para conectarse a SQL Server mediante la visualización del registro de SCCM, como se muestra en el ejemplo siguiente:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>