Supporto di TLS 1.2 per Microsoft SQL Server

Si applica a: SQL Server
Numero KB originale: 3135244

Sommario

Questo articolo descrive il supporto di TLS 1.2 per Microsoft SQL Server. Elenca le build di SQL Server che abilitano TLS 1.2 sul lato server, i driver client e i provider che supportano TLS 1.2, gli aggiornamenti di .NET Framework da cui dipendono le funzionalità di SQL Server e gli errori più comuni che possono verificarsi quando è richiesto TLS 1.2 ma i componenti non sono aggiornati. SQL Server 2016, SQL Server 2017, SQL Server 2019 e SQL Server 2022 supportano TLS 1.2 in modo nativo e non richiedono un aggiornamento separato. Le versioni out-of-mainstream (SQL Server 2008, 2008 R2, 2012 e 2014) richiedono gli aggiornamenti elencati nelle tabelle seguenti.

Esistono vulnerabilità note per Secure Sockets Layer (SSL) e versioni precedenti di Transport Layer Security (TLS). Usare TLS 1.2 (o TLS 1.3, se supportato) per la comunicazione sicura. Nelle versioni correnti Windows client e Windows Server, TLS 1.0 e TLS 1.1 sono disabilitati per impostazione predefinita, quindi i componenti client e server devono supportare TLS 1.2 o versione successiva per la connessione.

Controllare se è necessario questo aggiornamento

Usare la tabella seguente per verificare se la versione corrente di SQL Server supporta già TLS 1.2 o se è necessario installare un aggiornamento per abilitare il supporto tls 1.2. Usare i collegamenti di download nella tabella per ottenere gli aggiornamenti del server applicabili all'ambiente.

Download dei componenti client

Usare la tabella seguente per scaricare i componenti client e gli aggiornamenti dei driver applicabili all'ambiente in uso.

Supporto di driver client e provider per TLS 1.2

La tabella seguente riepiloga il supporto di TLS 1.2 tra driver e provider SQL Server:

Altre correzioni necessarie per SQL Server per l'uso di TLS 1.2

Installare i seguenti pacchetti cumulativi di hotfix .NET per consentire alle funzionalità di SQL Server che si basano sugli endpoint .NET di usare TLS 1.2. Gli esempi includono Posta elettronica database e componenti SSIS come l'attività Servizio Web.

Domande frequenti

SQL Server 2016 e le versioni successive supportano TLS 1.1?

SQL Server 2016, SQL Server 2017 su Windows, SQL Server 2019 su Windows e SQL Server 2022 supportano TLS 1.0 fino a TLS 1.2. Le versioni TLS effettivamente usate dai client dipendono da ciò che il sistema operativo Windows sottostante abilita. Nelle versioni correnti Windows, TLS 1.0 e TLS 1.1 sono disabilitati per impostazione predefinita. Se si vuole consentire solo TLS 1.2 (o versione successiva), disabilitare i protocolli meno recenti in Schannel.

SQL Server 2019 consente connessioni che usano TLS 1.0 o 1.1 o solo 1.2?

SQL Server 2019 ha lo stesso livello di supporto TLS di SQL Server 2016 e SQL Server 2017. SQL Server 2019 RTM viene fornito con il supporto TLS 1.2 e non è necessario alcun altro aggiornamento o correzione per abilitarlo. Le impostazioni di Schannel nel sistema operativo controllano quali versioni di TLS i client possono effettivamente utilizzare.

TDS è interessato da vulnerabilità note?

Non esistono vulnerabilità note per l'implementazione Microsoft TDS. Poiché diverse organizzazioni di imposizione degli standard impongono l'uso di TLS 1.2 per i canali di comunicazione crittografati, Microsoft rilascia il supporto per TLS 1.2 per la vasta base di installazione di SQL Server.

In che modo Microsoft distribuire gli aggiornamenti tls 1.2 ai clienti?

Questo articolo fornisce collegamenti di download per gli aggiornamenti del server e client appropriati che supportano TLS 1.2.

TLS 1.2 supporta SQL Server 2005?

Il supporto di TLS 1.2 è disponibile solo per SQL Server 2008 e versioni successive.

I clienti che non usano SSL/TLS sono interessati se SSL 3.0 e TLS 1.0 sono disabilitati nel server?

Sì. SQL Server crittografa il nome utente e la password durante l'autenticazione anche quando non viene usato un canale di comunicazione sicuro. L'aggiornamento TLS 1.2 è necessario per qualsiasi istanza di SQL Server in cui l'unico protocollo abilitato nel server è TLS 1.2.

Quali versioni di Windows Server supportano TLS 1.2?

Windows Server 2008 R2 e versioni successive supportano TLS 1.2.

Qual è l'impostazione corretta del Registro di sistema per abilitare TLS 1.2 per la comunicazione SQL Server?

Le impostazioni corrette del Registro di sistema sono le seguenti:

• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
• [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

Queste impostazioni sono necessarie sia per i computer server che per i computer client. Le DisabledByDefault impostazioni e Enabled devono essere create nei client Windows 7 e nei server Windows Server 2008 R2. In Windows 8 e versioni successive dei sistemi operativi client o del server Windows Server 2012 e versioni successive dei sistemi operativi server, TLS 1.2 dovrebbe essere già abilitato. Se si implementa un criterio di distribuzione per il Registro di sistema di Windows che deve essere indipendente dalla versione del sistema operativo, aggiungi al criterio le chiavi del Registro di sistema indicate.

Inoltre, se si usa Posta elettronica database in SQL Server, è anche necessario impostare le chiavi del Registro di sistema .NET seguenti:

• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
• [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Problemi noti

SSMS, Server di report e Gestione report non è in grado di connettersi dopo aver applicato la correzione TLS 1.2

SQL Server Management Studio (SSMS), Server di report e Gestione report non si connettono al motore di database dopo aver applicato la correzione per SQL Server 2008, 2008 R2, 2012 o 2014. Server di report e Gestione report hanno esito negativo e restituiscono il messaggio di errore seguente:

Il server di report non può stabilire una connessione al database del server di report. È necessaria una connessione al database per tutte le richieste e le elaborazioni. (rsReportServerDatabaseUnavailable)

Questo problema si verifica perché SSMS, Report Manager e Gestione configurazione di Reporting Services usano ADO.NET e il supporto di ADO.NET per TLS 1.2 è disponibile solo nel .NET Framework 4.6. Per le versioni precedenti di .NET Framework, è necessario applicare un aggiornamento Windows in modo che ADO.NET possa supportare le comunicazioni TLS 1.2 per il client. Gli aggiornamenti Windows che abilitano il supporto tls 1.2 nelle versioni precedenti del framework di .NET sono elencati nella tabella nella sezione Controllare se è necessario questo aggiornamento sezione.

Reporting Services Gestione configurazione: handshake preliminare all'accesso non riuscito

Reporting Services Gestione configurazione segnala il seguente messaggio di errore anche dopo l'aggiornamento dei provider client a una versione che supporta TLS 1.2:

Impossibile connettersi al server: è stata stabilita una connessione al server, ma si è verificato un errore durante l'handshake di pre-accesso.

Per risolvere questo problema, creare manualmente la chiave del Registro di sistema seguente nel sistema che ospita il Reporting Services Gestione configurazione:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

La comunicazione endpoint crittografata non riesce per i gruppi di disponibilità, Database Mirroring o Service Broker

La comunicazione dell'endpoint crittografato che usa TLS 1.2 ha esito negativo quando si usano comunicazioni crittografate per i gruppi di disponibilità, il mirroring del database o Service Broker in SQL Server. Nel log degli errori SQL viene registrato un messaggio di errore simile al seguente:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.

Per altre informazioni su questo problema, vedere FIX: La comunicazione dell'endpoint crittografato con TLS 1.2 ha esito negativo quando si usa SQL Server.

Errori durante l'installazione di SQL Server 2012 o 2014 con TLS 1.2 abilitato

Si verificano errori diversi quando si tenta di installare SQL Server 2012 o SQL Server 2014 in un server con TLS 1.2 abilitato.

Per ulteriori informazioni, vedere Correzione: errore durante l'installazione di SQL Server 2012 o SQL Server 2014 in un server in cui TLS 1.2 è abilitato.

La connessione crittografata per il mirroring del database o i gruppi di disponibilità non va a buon fine con un certificato MD5

Una connessione crittografata con il mirroring del database o i gruppi di disponibilità non funziona quando si usa un certificato dopo aver disabilitato tutti gli altri protocolli diversi da TLS 1.2. È possibile che venga visualizzato uno o entrambi i messaggi di errore seguenti.

Nel log degli errori di SQL Server viene registrato un messaggio di errore simile al seguente:

Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'

Nel registro eventi di Windows viene registrato un messaggio di errore simile al seguente:

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36888
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      ------------
Description:
A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.

Log Name:      System
Source:        Schannel
Date:          <Date Time>
Event ID:      36874
Task Category: None
Level:         Error
Keywords:     
User:          SYSTEM
Computer:      -----------
Description:
An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.

Questo problema si verifica perché i gruppi di disponibilità e il mirroring del database richiedono un certificato che non usa algoritmi hash a lunghezza fissa, ad esempio MD5. Gli algoritmi hash a lunghezza fissa non sono supportati in TLS 1.2.

Per ulteriori informazioni, vedere FIX: La comunicazione tramite l'algoritmo hash MD5 ha esito negativo se SQL Server usa TLS 1.2.

Terminazione intermittente del servizio SQL Server SQL Server 2008 e 2008 R2

Le versioni del motore di database di SQL Server seguenti sono interessate dal problema di terminazione intermittente del servizio segnalato nell'articolo della Knowledge Base 3146034. Per proteggersi dal problema di terminazione del servizio, installare gli aggiornamenti di TLS 1.2 per SQL Server menzionati in questo articolo se la versione SQL Server è elencata nella tabella seguente:

Posta elettronica database non funziona con TLS 1.2

Posta elettronica database non riesce con il seguente errore:

Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException: impossibile leggere le informazioni di configurazione della posta elettronica dal database. Impossibile avviare la sessione di posta elettronica.

Per altre informazioni, vedere Altre correzioni necessarie affinché SQL Server possa usare TLS 1.2.

SCCM non è in grado di connettersi a SQL Server dopo l'abilitazione di TLS 1.2

System Center Configuration Manager (SCCM) non riesce a connettersi a SQL Server dopo l'abilitazione del protocollo TLS 1.2 in SQL Server. In questo caso viene visualizzato il seguente messaggio di errore:

Provider TCP: Una connessione esistente è stata chiusa forzatamente dall'host remoto

Questo problema può verificarsi quando SCCM usa un driver SQL Server Native Client che non ha una correzione. Per risolvere questo problema, scaricare e installare la correzione client elencata nella sezione Download dei componenti client . Ad esempio, Microsoft SQL Server 2012 Native Client - QFE.

È possibile individuare il driver usato da SCCM per connettersi a SQL Server visualizzando il log SCCM, come illustrato nell'esempio seguente:

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>