henere
Goto Top

Härten von IIS auf 2016 mit Exchange 2016

Servus zusammen,

würde gerne den OWA etwas sicherer machen.

Habe dazu folgendes Script gefunden. Spricht eurer Meinung nach etwas gegen den Einsatz ?

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]
"DisabledByDefault"=dword:00000001  
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000  
"Enabled"=dword:00000001  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000  
"Enabled"=dword:00000001  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\AES 128/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 168/168]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 128/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168/168]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\Triple DES 168]
"Enabled"=dword:00000000  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 64/128]
"Enabled"=dword:00000000   

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 128/128]

Grüße, Henere

Content-Key: 373527

Url: https://administrator.de/contentid/373527

Ausgedruckt am: 29.03.2024 um 06:03 Uhr

Mitglied: aqui
aqui 09.05.2018 um 17:45:30 Uhr
Goto Top
Wäre das nicht eher was für die Rubrik "Microsoft -> Exchange Server" ?!
Mitglied: spec1re
Lösung spec1re 09.05.2018 aktualisiert um 18:54:33 Uhr
Goto Top
Das Script oder das Tool hier:

https://www.nartac.com/Products/IISCrypto

ist ein bisschen übersichtlicher, aber machen beide das gleiche.

Gruß Spec

https://www.frankysweb.de/chrome-und-windows-server-2016-err_spdy_inadeq ...
Mitglied: Henere
Henere 09.05.2018 um 20:39:30 Uhr
Goto Top
Habe jetzt mal mein Regfile importiert und neu gestartet.

Abgesehen von einer privaten CA finde ich, das sieht gut aus, oder ?

unbenannt

Henere
Mitglied: falscher-sperrstatus
falscher-sperrstatus 09.05.2018 um 23:08:00 Uhr
Goto Top
Hallo,

vorher/Nachher Bilder wären nicht schlecht, abgesehen davon sagen die Balken im Zweifel noch nichts.

VG
Mitglied: Henere
Henere 09.05.2018 um 23:13:23 Uhr
Goto Top
Den vorher Shot hatte ich vergessen. Shame on me.
War aber deutlich schlechter weil der Exchange (bzw IIS) sogar Doppel-ROT13 als Verschlüsselung akzeptiert hat.

Zumindest mal eine Baustelle weniger.
Mitglied: falscher-sperrstatus
falscher-sperrstatus 09.05.2018 um 23:28:12 Uhr
Goto Top
DoppelRot als Verschlüsselung? Naja, je nach dem, was man so mit Ihm einrichtet...
Mitglied: Henere
Henere 09.05.2018 um 23:40:35 Uhr
Goto Top
Doppel ROT13 bitte....

War komplett auf Standard 2016er Installation
Mitglied: Dani
Dani 10.05.2018 aktualisiert um 14:25:27 Uhr
Goto Top
Moin Henre,
Abgesehen von einer privaten CA finde ich, das sieht gut aus, oder ?
meiner Meinung noch nicht... es fehlen noch elementare Dinge (für ein A+):
  • Self Signed Zertifikat durch eines von LE ersetzen
  • Key Exchange wird erst 100 Punkte erhalten, wenn das eingesetzte Zertifikat eine Schlüssellänge von 4096 nutzt.
  • CAA Eintrag
  • HSTS Eintrag
  • Cipher Suites wird erst 100 Punkte erhalten, wenn du die schwachen Algorithmen deaktivierst, parallel aber Diffle-Hellmann von 1024 auf 4096 Bit erhöhst. Das kann das IISCrypto nämlich nicht. face-smile


Gruß,
Dani