为什么不同机器上的 ServicePointManager.SecurityProtocol 默认值不同？

Question

目前我有一个问题，无法找到严格的答案。

我有面向 4.6.1 框架的 ASP.NET MVC 5 应用程序，它的目标是使用受 TLS 1.1/TLS 1.2 协议保护的第三方 API。

我尝试在 2 个环境中运行我的应用程序：

• 我的本地计算机 Windows 10 与 .NET 4.6.2 框架、IIS Express；
• 服务器机器 Windows Server 2012 与 .NET 4.6.1、IIS 8.0；

问题在于，当我在本地启动它时 ServicePointManager.SecurityProtocol 默认值设置为 Ssl3, Tls，因此我无法针对 API 并且必须在应用程序开始使用 TLS 1.1/TLS 1.2 时对其进行编码：@987654323 @。

应用程序在服务器上运行时默认值ServicePointManager.SecurityProtocol设置为Tls, Tls11, Tls12，所以运行良好。

根据文档，在 .NET Framework 4.6 或以上版本上运行的应用程序默认必须使用 TLS 1.1/TLS 1.2，在远程机器上的情况如何。

为什么ServicePointManager.SecurityProtocol的默认值不一样？是因为.NET Framework 配置吗？或者也许是注册表设置？我已经搜索过了，但找不到答案。

Answer 1

MSDN: ServicePointManager.SecurityProtocol Property:

请注意，没有为该属性列出默认值，这是故意的。安全环境不断变化，默认协议和保护级别随着时间的推移而变化，以避免已知的弱点。默认值会因个别机器配置、安装的软件以及应用的补丁而异。

MSDN Blogs: Support for SSL/TLS protocols on Windows:

在 Windows 上，对 SSL/TLS 协议的支持与 SCHANNEL 组件相关联。因此，如果特定操作系统版本不支持 SSL/TLS 版本，这意味着它仍然不受支持。

MSDN: Cipher Suites in TLS/SSL (Schannel SSP)

不同的 Windows 版本支持不同的 TLS 密码套件和优先级顺序。有关 Microsoft Schannel Provider 选择它们的默认顺序，请参阅相应的 Windows 版本。

换句话说：这取决于您的 Windows 版本及其补丁级别。

但是就像@Damien 说的，你为什么要关心默认级别是什么？

Answer 2

我们可以像下面这样更新注册表，让 .Net 框架使用 TLS1.1\TLS1.2，需要重启。

我试过了，我机器中ServicePointManager.SecurityProtocol的值从“Ssl3, Tls”变成了“Tls, Tls11, Tls12”：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001