TLS 1.2-stöd för Microsoft SQL Server

Gäller för: SQL Server
Ursprungligt KB-nummer: 3135244

Sammanfattning

I den här artikeln beskrivs TLS 1.2-stöd för Microsoft SQL Server. Den visar de SQL Server versioner som aktiverar TLS 1.2-serversidan, klientdrivrutinerna och leverantörerna som stöder TLS 1.2, .NET Framework-uppdateringar som SQL Server funktioner är beroende av och de vanligaste felen du kan se när TLS 1.2 krävs men komponenterna inte är uppdaterade. SQL Server 2016, SQL Server 2017, SQL Server 2019 och SQL Server 2022 stöder TLS 1.2 internt och behöver ingen separat uppdatering. Out-of-mainstream-versioner (SQL Server 2008, 2008 R2, 2012 och 2014) behöver uppdateringarna i tabellerna nedan.

Kända sårbarheter finns för SSL (Secure Sockets Layer) och tidigare versioner av TLS (Transport Layer Security). Använd TLS 1.2 (eller TLS 1.3 där det stöds) för säker kommunikation. För aktuella Windows-klient- och Windows Server versioner är TLS 1.0 och TLS 1.1 inaktiverade som standard, så klient- och serverkomponenter måste ha stöd för TLS 1.2 eller senare för att ansluta.

Kontrollera om du behöver den här uppdateringen

Använd följande tabell för att kontrollera om den aktuella versionen av SQL Server redan stöder TLS 1.2 eller om du behöver installera en uppdatering för att aktivera TLS 1.2-stöd. Använd nedladdningslänkarna i tabellen för att hämta de serveruppdateringar som gäller för din miljö.

Nedladdningar av klientkomponent

Använd följande tabell för att ladda ned de klientkomponenter och drivrutinsuppdateringar som gäller för din miljö.

Klientdrivrutin och providerstöd för TLS 1.2

I följande tabell sammanfattas TLS 1.2-stöd för SQL Server drivrutiner och leverantörer:

Andra korrigeringar som krävs för att SQL Server ska kunna använda TLS 1.2

Installera följande .NET snabbkorrigeringar för att låta SQL Server funktioner som är beroende av .NET slutpunkter använda TLS 1.2. Exempel är Database Mail- och SSIS-komponenter som webbtjänstaktiviteten.

Vanliga frågor och svar

Stöder SQL Server 2016 och senare versioner TLS 1.1?

SQL Server 2016, SQL Server 2017 på Windows, SQL Server 2019 på Windows och SQL Server 2022 stöder TLS 1.0 upp till och med TLS 1.2. Vilka TLS-versioner som klienter faktiskt använder beror på vad det underliggande Windows operativsystemet aktiverar. I aktuella Windows versioner inaktiveras TLS 1.0 och TLS 1.1 som standard. Om du bara vill tillåta TLS 1.2 (eller senare) inaktiverar du de äldre protokollen i Schannel.

Tillåter SQL Server 2019 anslutningar som använder TLS 1.0 eller 1.1 eller endast 1.2?

SQL Server 2019 har samma TLS-stöd som SQL Server 2016 och SQL Server 2017. SQL Server 2019 RTM levereras med stöd för TLS 1.2 och ingen annan uppdatering eller korrigering krävs för att aktivera den. Schannel-inställningarna i operativsystemet styr vilka TLS-versioner klienter faktiskt kan använda.

Påverkas TDS av kända sårbarheter?

Det finns inga kända sårbarheter för Microsoft TDS-implementering. Eftersom flera organisationer för efterlevnad av standarder kräver användning av TLS 1.2 för krypterade kommunikationskanaler släpper Microsoft stöd för TLS 1.2 för den omfattande SQL Server installationsbasen.

Hur distribuerar Microsoft TLS 1.2-uppdateringarna till kunder?

Den här artikeln innehåller nedladdningslänkar för lämpliga server- och klientuppdateringar som stöder TLS 1.2.

Har SQL Server 2005 stöd för TLS 1.2?

TLS 1.2-stöd erbjuds endast för SQL Server 2008 och senare versioner.

Påverkas kunder som inte använder SSL/TLS om SSL 3.0 och TLS 1.0 är inaktiverade på servern?

Ja. SQL Server krypterar användarnamnet och lösenordet under autentiseringen även när en säker kommunikationskanal inte används på annat sätt. TLS 1.2-uppdateringen behövs för alla SQL Server instanser där det enda aktiverade protokollet på servern är TLS 1.2.

Vilka versioner av Windows Server stöder TLS 1.2?

Windows Server 2008 R2 och senare versioner stöder TLS 1.2.

Vilken är rätt registerinställning för att aktivera TLS 1.2 för SQL Server kommunikation?

Rätt registerinställningar är följande:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

De här inställningarna krävs för både server- och klientdatorer. Inställningarna DisabledByDefault och Enabled måste skapas på Windows 7-klienter och Windows Server 2008 R2-servrar. I Windows 8 och senare versioner av klientoperativsystemen eller Windows Server 2012-servern och senare versioner av serveroperativsystemen bör TLS 1.2 redan vara aktiverat. Om du implementerar en distributionsprincip för Windows Registry som måste vara oberoende av os-versionen lägger du till de nämnda registernycklarna i principen.

Om du använder Database Mail på SQL Server måste du också ange följande .NET-registernycklar:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Kända problem

SSMS, rapportservern och Rapporthanteraren kan inte ansluta när du har tillämpat korrigeringen för TLS 1.2

SQL Server Management Studio (SSMS), Report Server och Report Manager ansluter inte till databasmotorn när du har tillämpat korrigeringen för SQL Server 2008, 2008 R2, 2012 eller 2014. Rapportservern och Rapporthanteraren misslyckas och returnerar följande felmeddelande:

Rapportservern kan inte öppna en anslutning till rapportserverdatabasen. Det krävs en anslutning till databasen för alla förfrågningar och all bearbetning. (rsReportServerDatabaseUnavailable)

Det här problemet beror på att SSMS, Report Manager och Reporting Services Configuration Manager använder ADO.NET och ADO.NET stöd för TLS 1.2 endast är tillgängligt i .NET Framework 4.6. För tidigare versioner av .NET Framework måste du tillämpa en Windows uppdatering så att ADO.NET kan stödja TLS 1.2-kommunikation för klienten. De Windows uppdateringar som aktiverar TLS 1.2-stöd i tidigare versioner av .NET-ramverket visas i tabellen i avsnittet Kontrollera om du behöver den här uppdateringen.

Reporting Services Configuration Manager handskakning före inloggning misslyckas

Reporting Services Configuration Manager rapporterar följande felmeddelande även efter att du har uppdaterat klientleverantörer till en version som stöder TLS 1.2:

Det gick inte att ansluta till servern: En anslutning upprättades till servern, men sedan uppstod ett fel under handskakningen före inloggningen.

Åtgärda problemet genom att manuellt skapa följande registernyckel i systemet som är värd för Reporting Services Configuration Manager:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

Krypterad slutpunktskommunikation misslyckas för tillgänglighetsgrupper, databasspegling eller Service Broker

Den krypterade slutpunktskommunikationen som använder TLS 1.2 misslyckas när du använder krypterad kommunikation för tillgänglighetsgrupper, databasspegling eller Service Broker i SQL Server. Ett felmeddelande som liknar följande loggas i SQL-felloggen:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Mer information om det här problemet finns i ÅTGÄRDA: Den krypterade slutpunktskommunikationen med TLS 1.2 misslyckas när du använder SQL Server.

Fel när du installerar SQL Server 2012 eller 2014 med TLS 1.2 aktiverat

Olika fel uppstår när du försöker installera SQL Server 2012 eller SQL Server 2014 på en server som har TLS 1.2 aktiverat.

Mer information finns i Åtgärda: Fel när du installerar SQL Server 2012 eller SQL Server 2014 på en server som har TLS 1.2 aktiverat.

Krypterad anslutning för databasspegling eller tillgänglighetsgrupper misslyckas när ett MD5-certifikat används

En krypterad anslutning med databasspegling eller tillgänglighetsgrupper fungerar inte när du använder ett certifikat när du har inaktiverat alla andra protokoll än TLS 1.2. Du kan se ett eller båda av följande felmeddelanden.

Ett felmeddelande som liknar följande loggas i SQL Server-felloggen:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Ett felmeddelande som liknar följande loggas i Windows-händelseloggen:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Det här problemet beror på att tillgänglighetsgrupper och databasspegling kräver ett certifikat som inte använder hashalgoritmer med fast längd, till exempel MD5. Hashalgoritmer med fast längd stöds inte i TLS 1.2.

Mer information finns i FIX: Kommunikation med MD5-hashalgoritmen misslyckas om SQL Server använder TLS 1.2.

Sporadiskt avslut av SQL Server-tjänsten i SQL Server 2008 och 2008 R2

Följande versioner av SQL Server-databasmotorn påverkas av det tillfälliga tjänstavslutsproblem som rapporteras i knowledge base-artikeln 3146034. Om du vill skydda dig mot problemet med tjänstavslut installerar du TLS 1.2-uppdateringarna för SQL Server som nämns i den här artikeln om din SQL Server version visas i följande tabell:

Database Mail fungerar inte med TLS 1.2

Database Mail misslyckas med följande fel:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: Det gick inte att läsa e-postkonfigurationsinformationen från databasen. Det går inte att starta e-postsessionen.

Mer information finns i Andra korrigeringar som krävs för att SQL Server ska kunna använda TLS 1.2.

SCCM kan inte ansluta till SQL Server när TLS 1.2 har aktiverats

System Center Configuration Manager (SCCM) kan inte ansluta till SQL Server när TLS 1.2-protokollet har aktiverats på SQL Server. I den här situationen får du följande felmeddelande:

TCP-provider: En befintlig anslutning stängdes tvångsmässigt av fjärrvärden

Det här problemet kan uppstå när SCCM använder en inbyggd SQL Server-klientdrivrutin som inte har någon korrigering. Du kan åtgärda problemet genom att ladda ned och installera klientkorrigeringen som visas i avsnittet Klientkomponentnedladdningar . Till exempel Microsoft SQL Server 2012 Native Client – QFE.

Du kan ta reda på vilken drivrutin SCCM använder för att ansluta till SQL Server genom att visa SCCM-loggen, som du ser i följande exempel:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>