TLS 1.2-Unterstützung für Microsoft SQL Server

Gilt für: SQL Server
Ursprüngliche KB-Nummer: 3135244

Zusammenfassung

In diesem Artikel wird die TLS 1.2-Unterstützung für Microsoft SQL Server beschrieben. Es listet die SQL Server Builds auf, die TLS 1.2 serverseitig aktivieren, die Clienttreiber und -anbieter, die TLS 1.2 unterstützen, die .NET Framework-Updates, von denen SQL Server Features abhängen, und die häufigsten Fehler, von denen Sie möglicherweise feststellen können, wann TLS 1.2 erforderlich ist, aber die Komponenten sind nicht auf dem neuesten Stand. SQL Server 2016, SQL Server 2017, SQL Server 2019 und SQL Server 2022 unterstützen TLS 1.2 nativ und benötigen kein separates Update. Out-of-Mainstream-Versionen (SQL Server 2008, 2008 R2, 2012 und 2014) benötigen die in den folgenden Tabellen aufgeführten Updates.

Bekannte Sicherheitsrisiken sind für Secure Sockets Layer (SSL) und frühere Versionen von Transport Layer Security (TLS) vorhanden. Verwenden Sie TLS 1.2 (oder TLS 1.3, sofern unterstützt) für die sichere Kommunikation. Auf dem aktuellen Windows Client und Windows Server Versionen sind TLS 1.0 und TLS 1.1 standardmäßig deaktiviert, sodass Client- und Serverkomponenten TLS 1.2 oder höher unterstützen müssen, um eine Verbindung herzustellen.

Überprüfen Sie, ob Sie dieses Update benötigen.

Verwenden Sie die folgende Tabelle, um zu überprüfen, ob Ihre aktuelle Version von SQL Server TLS 1.2 bereits unterstützt oder ob Sie ein Update installieren müssen, um die TLS 1.2-Unterstützung zu aktivieren. Verwenden Sie die Downloadlinks in der Tabelle, um die Serverupdates abzurufen, die für Ihre Umgebung gelten.

Downloads für Clientkomponenten

Verwenden Sie die folgende Tabelle, um die Clientkomponenten und Treiberupdates herunterzuladen, die für Ihre Umgebung gelten.

Clienttreiber- und Anbieterunterstützung für TLS 1.2

Die folgende Tabelle fasst die TLS 1.2-Unterstützung für SQL Server Treiber und Anbieter zusammen:

Weitere Korrekturen, die für die Verwendung von TLS 1.2 für SQL Server erforderlich sind

Installieren Sie die folgenden .NET Hotfixrollups, damit SQL Server Features, die auf .NET Endpunkten basieren, TLS 1.2 verwenden können. Beispiele sind Datenbank-E-Mail- und SSIS-Komponenten wie die Webdienstaufgabe.

Häufig gestellte Fragen

Unterstützt SQL Server 2016 und höhere Versionen TLS 1.1?

SQL Server 2016, SQL Server 2017 für Windows, SQL Server 2019 für Windows und SQL Server 2022 TLS 1.0 bis TLS 1.2 unterstützen. Die TLS-Versionen, die Clients tatsächlich verwenden, hängen davon ab, was das zugrunde liegende Windows Betriebssystem ermöglicht. In den aktuellen Windows Versionen sind TLS 1.0 und TLS 1.1 standardmäßig deaktiviert. Wenn Sie nur TLS 1.2 (oder höher) zulassen möchten, deaktivieren Sie die älteren Protokolle in Schannel.

Lässt SQL Server 2019 Verbindungen zu, die TLS 1.0 oder 1.1 verwenden, oder nur 1.2?

SQL Server 2019 verfügt über die gleiche TLS-Unterstützung wie SQL Server 2016 und SQL Server 2017. SQL Server 2019 RTM wird mit TLS 1.2-Unterstützung ausgeliefert, und es ist kein anderes Update oder Fix erforderlich, um es zu aktivieren. Die Schannel-Einstellungen im Betriebssystem steuern, welche TLS-Versionen Clients tatsächlich verwenden können.

Ist TDS von bekannten Sicherheitsrisiken betroffen?

Für die Microsoft TDS-Implementierung sind keine bekannten Sicherheitsrisiken vorhanden. Da mehrere Standardserzwingungsorganisationen die Verwendung von TLS 1.2 für verschlüsselte Kommunikationskanäle vorgeschrieben haben, gibt Microsoft Unterstützung für TLS 1.2 für die weit verbreitete SQL Server Installationsbasis frei.

Wie wird Microsoft die TLS 1.2-Updates an Kunden verteilen?

Dieser Artikel enthält Downloadlinks für die entsprechenden Server- und Clientupdates, die TLS 1.2 unterstützen.

Unterstützt TLS 1.2 SQL Server 2005?

Tls 1.2-Unterstützung wird nur für SQL Server 2008 und höhere Versionen angeboten.

Sind Kunden betroffen, die SSL/TLS nicht verwenden, wenn SSL 3.0 und TLS 1.0 auf dem Server deaktiviert sind?

Ja. SQL Server verschlüsselt den Benutzernamen und das Kennwort während der Authentifizierung, auch wenn ein sicherer Kommunikationskanal nicht andernfalls verwendet wird. Das TLS 1.2-Update ist für jede SQL Server Instanz erforderlich, in der das einzige aktivierte Protokoll auf dem Server TLS 1.2 ist.

Welche Versionen von Windows Server unterstützen TLS 1.2?

Windows Server 2008 R2 und höhere Versionen unterstützen TLS 1.2.

Was ist die richtige Registrierungseinstellung, um TLS 1.2 für SQL Server Kommunikation zu aktivieren?

Die richtigen Registrierungseinstellungen sind wie folgt:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

Diese Einstellungen sind für Server- und Clientcomputer erforderlich. Die Einstellungen DisabledByDefault und Enabled müssen auf Windows 7-Clients und Windows Server 2008 R2-Servern eingerichtet werden. Unter Windows 8 und höheren Versionen von Clientbetriebssystemen oder Windows Server 2012-Server und höheren Versionen der Serverbetriebssysteme sollte TLS 1.2 bereits aktiviert sein. Wenn Sie eine Bereitstellungsrichtlinie für Windows Registrierung implementieren, die unabhängig von der Betriebssystemversion sein muss, fügen Sie der Richtlinie die erwähnten Registrierungsschlüssel hinzu.

Wenn Sie Datenbank-E-Mail auf Ihrem SQL Server verwenden, müssen Sie außerdem die folgenden .NET-Registrierungsschlüssel festlegen:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Bekannte Probleme

SSMS, Report Server und Report Manager können keine Verbindung herstellen, nachdem Sie den TLS 1.2-Fix angewendet haben.

SQL Server Management Studio (SSMS), Report Server und Report Manager stellen keine Verbindung mit dem Datenbankmodul her, nachdem Sie den Fix für SQL Server 2008, 2008 R2, 2012 oder 2014 angewendet haben. Der Berichtsserver und der Berichts-Manager schlagen fehl und geben die folgende Fehlermeldung zurück:

Der Berichtsserver kann keine Verbindung mit der Berichtsserver-Datenbank herstellen. Für jede Anforderung und Verarbeitung ist eine Verbindung mit der Datenbank erforderlich. (rsReportServerDatabaseUnavailable)

Dieses Problem tritt auf, da SSMS, Report Manager und Reporting Services Konfigurations-Manager ADO.NET verwenden und ADO.NET Unterstützung für TLS 1.2 nur in .NET Framework 4.6 verfügbar ist. Für frühere Versionen des .NET Frameworks müssen Sie ein Windows Update anwenden, damit ADO.NET die TLS 1.2-Kommunikation für den Client unterstützen kann. Die Windows Updates, die die TLS 1.2-Unterstützung in früheren Versionen des .NET-Frameworks aktivieren, sind in der Tabelle im Abschnitt "Überprüfen, ob Sie diesen Updateabschnitt benötigen" aufgeführt.

Fehler beim Handshake vor der Anmeldung im Reporting Services Konfigurations-Manager

Reporting Services Konfigurations-Manager meldet die folgende Fehlermeldung auch nach dem Aktualisieren von Clientanbietern auf eine Version, die TLS 1.2 unterstützt:

Verbindung mit dem Server konnte nicht hergestellt werden: Eine Verbindung wurde erfolgreich mit dem Server hergestellt, während der Handshake vor der Anmeldung ist jedoch ein Fehler aufgetreten.

Um dieses Problem zu beheben, erstellen Sie manuell den folgenden Registrierungsschlüssel auf dem System, auf dem die Reporting Services Konfigurations-Manager gehostet wird:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

Verschlüsselte Endpunktkommunikation schlägt für Verfügbarkeitsgruppen, Datenbankspiegelung oder Service Broker fehl.

Die verschlüsselte Endpunktkommunikation, die TLS 1.2 verwendet, schlägt fehl, wenn Sie verschlüsselte Kommunikation für Verfügbarkeitsgruppen, Datenbankspiegelung oder Service Broker in SQL Server verwenden. Eine Fehlermeldung, die dem folgenden ähnelt, wird im SQL-Fehlerprotokoll protokolliert:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Weitere Informationen zu diesem Problem finden Sie unter FIX: Die verschlüsselte Endpunktkommunikation mit TLS 1.2 schlägt fehl, wenn Sie SQL Server verwenden.

Fehler beim Installieren von SQL Server 2012 oder 2014 mit aktivierter TLS 1.2-Aktivierung

Verschiedene Fehler treten auf, wenn Sie versuchen, SQL Server 2012 oder SQL Server 2014 auf einem Server zu installieren, auf dem TLS 1.2 aktiviert ist.

Weitere Informationen finden Sie unter FIX: Fehler beim Installieren von SQL Server 2012 oder SQL Server 2014 auf einem Server, auf dem TLS 1.2 aktiviert ist.

Verschlüsselte Verbindung für Datenbankspiegelung oder Verfügbarkeitsgruppen schlägt mit einem MD5-Zertifikat fehl.

Eine verschlüsselte Verbindung mit Datenbankspiegelungs- oder Verfügbarkeitsgruppen funktioniert nicht, wenn Sie ein Zertifikat verwenden, nachdem Sie alle anderen Protokolle als TLS 1.2 deaktiviert haben. Möglicherweise wird eine oder beide der folgenden Fehlermeldungen angezeigt.

Eine Fehlermeldung, die dem folgenden ähnelt, wird im SQL Server-Fehlerprotokoll protokolliert:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Eine Fehlermeldung, die dem folgenden ähnelt, wird im Windows-Ereignisprotokoll protokolliert:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Dieses Problem tritt auf, da Verfügbarkeitsgruppen und Datenbankspiegelung ein Zertifikat erfordern, das keine Hashalgorithmen mit fester Länge verwendet, z. B. MD5. Hashingalgorithmen mit fester Länge werden in TLS 1.2 nicht unterstützt.

Weitere Informationen finden Sie unter FIX: Kommunikation mit MD5-Hashalgorithmus schlägt fehl, wenn SQL Server TLS 1.2 verwendet.

Zeitweilige SQL Server Service-Kündigung am SQL Server 2008 und 2008 R2

Die folgenden SQL Server-Datenbankmodulversionen sind von dem zeitweiligen Problem beim Beenden des Diensts betroffen, das im Knowledge Base-Artikel 3146034 gemeldet wird. Um sich vor dem Problem mit dem Beenden des Diensts zu schützen, installieren Sie die TLS 1.2-Updates für SQL Server, die in diesem Artikel erwähnt werden, wenn Ihre SQL Server Version in der folgenden Tabelle aufgeführt ist:

Datenbank-E-Mail funktioniert nicht mit TLS 1.2

Datenbank-E-Mail schlägt mit dem folgenden Fehler fehl:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: E-Mail-Konfigurationsinformationen konnten nicht aus der Datenbank gelesen werden. E-Mail-Sitzung kann nicht gestartet werden.

Weitere Informationen finden Sie unter "Weitere Korrekturen", die für SQL Server für die Verwendung von TLS 1.2 erforderlich sind.

SCCM kann keine Verbindung mit SQL Server herstellen, nachdem TLS 1.2 aktiviert wurde

System Center Configuration Manager (SCCM) kann keine Verbindung mit SQL Server herstellen, nachdem das TLS 1.2-Protokoll auf SQL Server aktiviert ist. In diesem Fall erhalten Sie die folgende Fehlermeldung:

TCP-Anbieter: Eine vorhandene Verbindung wurde vom Remotehost zwangsweise geschlossen.

Dieses Problem kann auftreten, wenn SCCM einen SQL Server Native Client-Treiber verwendet, der keine Lösung hat. Um dieses Problem zu beheben, laden Sie den Client-Fix herunter, und installieren Sie es, der im Abschnitt " Clientkomponentendownloads " aufgeführt ist. Beispiel: Microsoft SQL Server 2012 Native Client – QFE.

Sie können herausfinden, welcher Treiber SCCM zum Herstellen einer Verbindung mit SQL Server verwendet, indem Sie das SCCM-Protokoll anzeigen, wie im folgenden Beispiel gezeigt:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>