Suporte a TLS 1.2 para o Microsoft SQL Server

Aplica-se a: SQL Server
Número original do KB: 3135244

Resumo

Este artigo descreve o suporte do TLS 1.2 para Microsoft SQL Server. Ele lista os builds de SQL Server que habilitam o lado do servidor TLS 1.2, os drivers de cliente e os provedores que dão suporte ao TLS 1.2, as atualizações do .NET Framework das quais os recursos SQL Server dependem e os erros mais comuns que você pode ver quando o TLS 1.2 é necessário, mas os componentes não estão atualizados. SQL Server 2016, SQL Server 2017, SQL Server 2019 e SQL Server 2022 dão suporte ao TLS 1.2 nativamente e não precisam de uma atualização separada. Versões fora do mainstream (SQL Server 2008, 2008 R2, 2012 e 2014) precisam das atualizações listadas nas tabelas abaixo.

Existem vulnerabilidades conhecidas para o SSL (Secure Sockets Layer) e versões anteriores do TLS (Transport Layer Security). Use o TLS 1.2 (ou O TLS 1.3, onde há suporte) para comunicação segura. Nas versões Windows cliente e Windows Server atuais, o TLS 1.0 e o TLS 1.1 são desabilitados por padrão, portanto, os componentes de cliente e servidor devem dar suporte ao TLS 1.2 ou posterior para se conectarem.

Verifique se você precisa dessa atualização

Use a tabela a seguir para verificar se sua versão atual do SQL Server já dá suporte ao TLS 1.2 ou se você precisa instalar uma atualização para habilitar o suporte ao TLS 1.2. Use os links de download na tabela para obter as atualizações de servidor que se aplicam ao seu ambiente.

Downloads de componentes do cliente

Use a tabela a seguir para baixar os componentes do cliente e as atualizações de driver aplicáveis ao seu ambiente.

Suporte a driver cliente e provedor para TLS 1.2

A tabela a seguir resume o suporte ao TLS 1.2 em SQL Server drivers e provedores:

Outras correções necessárias para SQL Server usar o TLS 1.2

Instale os seguintes pacotes cumulativos de hotfix .NET para permitir que SQL Server recursos que dependem de pontos de extremidade .NET usem o TLS 1.2. Exemplos incluem componentes Database Mail e SSIS, como a tarefa serviço Web.

Perguntas frequentes

O SQL Server 2016 e versões posteriores dá suporte ao TLS 1.1?

SQL Server 2016, SQL Server 2017 no Windows, SQL Server 2019 no Windows e SQL Server 2022 dão suporte ao TLS 1.0 a TLS 1.2. As versões do TLS que os clientes realmente usam dependem do que o sistema operacional Windows subjacente habilita. Nas versões Windows atuais, o TLS 1.0 e o TLS 1.1 estão desabilitados por padrão. Se você quiser permitir apenas o TLS 1.2 (ou posterior), desabilite os protocolos mais antigos no Schannel.

O SQL Server 2019 permite conexões que usam o TLS 1.0 ou 1.1 ou apenas 1.2?

SQL Server 2019 tem o mesmo nível de suporte do TLS que SQL Server 2016 e SQL Server 2017. SQL Server RTM 2019 é fornecido com suporte ao TLS 1.2 e nenhuma outra atualização ou correção é necessária para habilitá-la. Configurações do Schannel no controle do sistema operacional que os clientes de versões do TLS podem realmente usar.

O TDS é afetado por vulnerabilidades conhecidas?

Não existem vulnerabilidades conhecidas para a implementação do TDS Microsoft. Como várias organizações de imposição de padrões exigem o uso do TLS 1.2 para canais de comunicação criptografados, Microsoft está liberando suporte para o TLS 1.2 para a base de instalação de SQL Server generalizada.

Como Microsoft distribuirá as atualizações do TLS 1.2 aos clientes?

Este artigo fornece links de download para as atualizações apropriadas de servidor e cliente que dão suporte ao TLS 1.2.

O TLS 1.2 dá suporte SQL Server 2005?

O suporte ao TLS 1.2 é oferecido apenas para o SQL Server 2008 e versões posteriores.

Os clientes que não estão usando SSL/TLS serão afetados se o SSL 3.0 e o TLS 1.0 estiverem desabilitados no servidor?

Sim. SQL Server criptografa o nome de usuário e a senha durante a autenticação, mesmo quando um canal de comunicação seguro não é usado de outra forma. A atualização do TLS 1.2 é necessária para qualquer instância SQL Server em que o único protocolo habilitado no servidor seja o TLS 1.2.

Quais versões do Windows Server dão suporte ao TLS 1.2?

O Windows Server 2008 R2 e versões posteriores dão suporte ao TLS 1.2.

Qual é a configuração correta do Registro para habilitar o TLS 1.2 para SQL Server comunicação?

As configurações corretas do Registro são as seguintes:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

Essas configurações são necessárias para computadores servidor e cliente. As DisabledByDefault configurações e Enabled devem ser criadas em clientes Windows 7 e servidores Windows Server 2008 R2. No Windows 8 e versões posteriores dos sistemas operacionais cliente ou no servidor Windows Server 2012 e versões posteriores dos sistemas operacionais do servidor, o TLS 1.2 já deve estar habilitado. Se você estiver implementando uma política de implantação para Windows Registro que precisa ser independente da versão do sistema operacional, adicione as chaves de registro mencionadas à política.

Além disso, se você estiver usando o Database Mail no SQL Server, também precisará definir as seguintes chaves do Registro .NET:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Problemas conhecidos

O SSMS, o Servidor de Relatórios e o Gerenciador de Relatórios não podem se conectar depois de aplicar a correção do TLS 1.2

O SSMS (SQL Server Management Studio), o Servidor de Relatórios e o Gerenciador de Relatórios não se conectam ao mecanismo de banco de dados depois que você aplica a correção para o SQL Server 2008, 2008 R2, 2012 ou 2014. O Servidor de Relatórios e o Gerenciador de Relatórios falham e retornam a seguinte mensagem de erro:

O servidor de relatório não pode abrir uma conexão com o banco de dados do servidor de relatório. Uma conexão com o banco de dados é necessária para todas as solicitações e processamentos. (rsReportServerDatabaseUnavailable)

Esse problema ocorre porque o SSMS, o Gerenciador de Relatórios e o Gerenciador de Configurações do Reporting Services usam ADO.NET e ADO.NET suporte para TLS 1.2 está disponível apenas no .NET Framework 4.6. Para versões anteriores do .NET Framework, você precisa aplicar uma atualização Windows para que o ADO.NET possa dar suporte a comunicações TLS 1.2 para o cliente. As atualizações Windows que habilitam o suporte ao TLS 1.2 em versões anteriores da estrutura .NET estão listadas na tabela na seção Verificar se você precisa dessa seção de atualização.

Reporting Services Gerenciador de Configurações handshake pré-logon falha

Reporting Services Gerenciador de Configurações relata a seguinte mensagem de erro mesmo depois de atualizar os provedores cliente para uma versão que dá suporte ao TLS 1.2:

Não foi possível conectar ao servidor: uma conexão foi estabelecida com êxito com o servidor, mas ocorreu um erro durante o handshake de pré-login.

Para corrigir esse problema, crie manualmente a seguinte chave do Registro no sistema que hospeda o Reporting Services Gerenciador de Configurações:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

Falha na comunicação do ponto de extremidade criptografado para Grupos de Disponibilidade, Espelhamento de Banco de Dados ou Service Broker

A comunicação de ponto de extremidade criptografada que usa o TLS 1.2 falha quando você usa comunicações criptografadas para Grupos de Disponibilidade, Espelhamento de Banco de Dados ou Service Broker no SQL Server. Uma mensagem de erro semelhante à seguinte é registrada no log de erros do SQL:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Para obter mais informações sobre esse problema, consulte CORREÇÃO: a comunicação do ponto de extremidade criptografado com o TLS 1.2 falha quando você usa o SQL Server.

Erros ao instalar o SQL Server 2012 ou 2014 com o TLS 1.2 habilitado

Erros diferentes ocorrem quando você tenta instalar SQL Server 2012 ou SQL Server 2014 em um servidor que tem o TLS 1.2 habilitado.

Para obter mais informações, consulte CORREÇÃO: Erro ao instalar o SQL Server 2012 ou o SQL Server 2014 em um servidor que tem o TLS 1.2 habilitado.

Falha na conexão criptografada para espelhamento de banco de dados ou grupos de disponibilidade com um certificado MD5

Uma conexão criptografada com Espelhamento de Banco de Dados ou Grupos de Disponibilidade não funciona quando você usa um certificado depois de desabilitar todos os outros protocolos diferentes do TLS 1.2. Você pode ver uma ou ambas as mensagens de erro a seguir.

Uma mensagem de erro semelhante à seguinte é registrada no log de erros do SQL Server:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Uma mensagem de erro semelhante à seguinte é registrada no log de eventos do Windows:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Esse problema ocorre porque os Grupos de Disponibilidade e o Espelhamento de Banco de Dados exigem um certificado que não usa algoritmos de hash de comprimento fixo, como MD5. Não há suporte para algoritmos de hash de comprimento fixo no TLS 1.2.

Para obter mais informações, consulte CORREÇÃO: A comunicação usando o algoritmo de hash MD5 falhará se o SQL Server usar o TLS 1.2.

Terminação de serviço de SQL Server intermitente no SQL Server 2008 e 2008 R2

As seguintes versões do mecanismo de banco de dados do SQL Server são afetadas pelo problema de encerramento intermitente do serviço relatado no artigo 3146034 da Base de Dados de Conhecimento. Para se proteger do problema de encerramento do serviço, instale as atualizações do TLS 1.2 para SQL Server mencionadas neste artigo se a versão SQL Server estiver listada na tabela a seguir:

Database Mail não funciona com o TLS 1.2

O Database Mail falha com o seguinte erro:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: as informações de configuração de email não puderam ser lidas no banco de dados. Não é possível iniciar a sessão de e-mail.

Para obter mais informações, consulte Outras correções necessárias para SQL Server usar o TLS 1.2.

O SCCM não pode se conectar ao SQL Server depois que o TLS 1.2 está habilitado

O System Center Configuration Manager (SCCM) não pode se conectar ao SQL Server depois que o protocolo TLS 1.2 é habilitado no SQL Server. Nessa situação, você receberá a seguinte mensagem de erro:

Provedor TCP: uma conexão existente foi fechada à força pelo host remoto

Esse problema pode ocorrer quando o SCCM usa um driver SQL Server Native Client que não tem uma correção. Para corrigir esse problema, baixe e instale a correção do cliente listada na seção Downloads do componente Cliente . Por exemplo, Microsoft SQL Server 2012 Native Client – QFE.

Você pode descobrir qual driver o SCCM está usando para se conectar ao SQL Server exibindo o log do SCCM, conforme mostrado no exemplo a seguir:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>