SSL Registry Ayarları (Windows)

Windows'ta TLS davranışının büyük kısmı HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL altında tanımlanır. IIS, RDP, SQL Server ve .NET uygulamaları aynı bileşeni kullandığı için buradaki değişiklik sunucudaki çoğu servisi etkiler.

Anahtar yapısı

• Protocols: Her protokol (ör. TLS 1.2) için Client ve Server alt anahtarları bulunur.
• Ciphers: Bireysel şifreleme algoritmalarını açar/kapatır (ör. RC4).
• Hashes: MD5, SHA gibi özet algoritmaları.
• KeyExchangeAlgorithms: Diffie-Hellman, ECDH gibi anahtar değişimi.

Değerler

• Enabled (DWORD): 1 açık, 0 kapalı.
• DisabledByDefault (DWORD): 1 ise uygulama özellikle istemedikçe kullanılmaz.

Bir protokolü tamamen kapatmak için ikisini de sırasıyla Enabled=0, DisabledByDefault=1 yapın. Anahtar yoksa oluşturulması gerekir.

Yedek alma ve geri dönüş

reg export "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL" C:\yedek\schannel.reg
reg import C:\yedek\schannel.reg

İkinci komut yedeği geri yükler. Geri yükleme sonrası yeniden başlatma gerekir.

Şifre sırası: grup ilkesi

Cipher suite sırasını kayıt defteri yerine grup ilkesiyle yönetmek daha güvenlidir: Computer Configuration > Administrative Templates > Network > SSL Configuration Settings > SSL Cipher Suite Order. Etkin paketleri PowerShell'de Get-TlsCipherSuite ile listeleyebilirsiniz.

Sertifika deposunu kontrol etme

certutil -store My
certutil -store CA

İlk komut kişisel depodaki sunucu sertifikalarını, ikincisi ara sertifika depolarını listeler. Eksik ara sertifika sorunlarında faydalıdır.

Uyarılar

• Eski istemcileri kaybetmemek için önce günlükleri inceleyin.
• Bir ayar yanlışsa RDP bağlantısı kopabilir; konsol erişimi hazır olsun.
• Değişiklik sonrası dışarıdan tarama yapın: SSL kontrol aracı.

Ne zaman dokunmamalı?

Kayıt defteri ayarlarına yalnızca gerçekten ihtiyaç olduğunda dokunun. Güncel Windows Server sürümlerinde varsayılanlar zaten modern kabul edilir ve güncelleştirmeler bunları iyileştirir. Gereksiz elle müdahale, sonraki güncellemelerle çakışabilir. Değişiklik yaptıysanız neyi neden değiştirdiğinizi bir değişiklik kaydında tutun.

Sertifika almak için SSL sertifikaları sayfasına bakabilirsiniz.