Windows – Verhindern schwacher Verschlüsselungen in SSL/TLS

Zur Erhöhung der Sicherheit können Sie das Domänenrichtlinien-GPO (Gruppenrichtlinienobjekt) konfigurieren und sicherstellen, dass eine Kommunikation, die das SSL/TLS-Protokoll zwischen Omnissa Horizon Client und auf virtuellen Maschinen basierenden Desktops oder RDS-Hosts verwendet, keine schwachen Verschlüsselungen zulässt.

Vorgehensweise

1. Bearbeiten Sie auf dem Active Directory-Server das GPO, indem Sie Start > Administrationstools > Gruppenrichtlinienverwaltung auswählen, mit der rechten Maustaste auf das GPO klicken und Bearbeiten auswählen.

2. Im Editor der Gruppenrichtlinienverwaltung wechseln Sie zu Computerkonfiguration > Richtlinien > Administratorvorlagen > Netzwerk > SSL-Konfigurationseinstellungen.

3. Doppelklicken Sie auf Reihenfolge der SSL-Verschlüsselungs-Suites.

4. Im Fenster „Reihenfolge der SSL-Verschlüsselungs-Suites“ klicken Sie auf Aktiviert.

5. Im Bereich „Optionen“ ersetzen Sie den gesamten Inhalt des Textfeldes „SSL-Verschlüsselungs-Suites“ mit der folgenden Verschlüsselungsliste:

   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,
   TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,
   TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,
   TLS_RSA_WITH_AES_128_CBC_SHA256,
   TLS_RSA_WITH_AES_128_CBC_SHA,
   TLS_RSA_WITH_AES_256_CBC_SHA256,
   TLS_RSA_WITH_AES_256_CBC_SHA
   

   Die Verschlüsselungs-Suites sind oben in gesonderten Zeilen zur besseren Lesbarkeit aufgeführt. Wenn Sie die Liste in das Textfeld einfügen, müssen die Verschlüsselungs-Suites in einer Zeile ohne Leerzeichen nach den einzelnen Trennkommas enthalten sein.

6. Beenden Sie den Editor der Gruppenrichtlinienverwaltung.

7. Starten Sie die Horizon Agent Direct-Connection-Plug-In-Maschinen neu, damit die neue Gruppenrichtlinie übernommen wird.

Ergebnisse

Hinweis: Wenn Horizon Client nicht für die Unterstützung einer Verschlüsselung konfiguriert ist, die vom virtuellen Desktop-Betriebssystem unterstützt wird, schlägt die TLS/SSL-Aushandlung fehl und der Client kann keine Verbindung herstellen.

Weitere Informationen zur Konfiguration von unterstützten Verschlüsselungs-Suites finden Sie in der Horizon Client-Dokumentation.