Désactiver les chiffrements faibles dans les protocoles SSL/TLS

Pour renforcer la sécurité, vous pouvez configurer l'objet de stratégie de groupe (GPO, objet de stratégie de groupe) de la stratégie du domaine pour vous assurer que les machines Windows exécutant Horizon Agent n'utilisent pas de chiffrements faibles lorsqu'elles communiquent à l'aide du protocole TLS.

Remarque :

Pour éviter d'éventuels problèmes de confidentialité avec les messages échangés avec AD, nous vous recommandons d'utiliser le scellement RPC requis pour les connexions LDAP à AD. Le « scellement » de ces messages garantit la confidentialité en chiffrant chaque message avec une clé de session négociée. Bien que cela soit actuellement facultatif, Microsoft prévoit d'imposer le scellement RPC dans le courant de 2023. Pour plus d'informations, reportez-vous à l'article 5021130 de la base de connaissances de Microsoft.

Procédure

1. Pour modifier le GPO sur le serveur Active Directory, sélectionnez Démarrer > Outils d'administration > Gestion des règles/politiques, cliquez avec le bouton droit sur le GPO, puis sélectionnez Modifier.

2. Dans l'Éditeur de gestion des règles/politiques, accédez à Configuration ordinateur > Stratégies > Modèles d'administration > Réseau > Paramètres de configuration SSL.

3. Double-cliquez sur Ordre des suites de chiffrement SSL.

4. Dans la fenêtre Ordre des suites de chiffrement SSL cliquez sur Activé.

5. Dans le volet Options, remplacez la totalité du contenu du champ Suites de chiffrement SSL avec la liste de chiffrement suivante :

   TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
   TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,
   TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
   TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,
   TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,
   TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,
   TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,
   TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,
   TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
   

   Les suites de chiffrement s'affichent sur des lignes distinctes à des fins de lisibilité. Lorsque vous collez la liste dans le champ de texte, les suites de chiffrement doivent être sur une même ligne, sans espaces après les virgules.

   Important : en mode FIPS, ne répertoriez que les suites de chiffrement GCM.

   Remarque : vous pouvez modifier cette liste de suites de chiffrement pour l'adapter à votre propre stratégie de sécurité.

6. Quittez l'éditeur de la gestion des règles du groupe.

7. Pour que la nouvelle stratégie de groupe prenne effet, redémarrez les machines Horizon Agent.