Ogranicz wszystko, oprócz serwera TLS 1.2 WCF

Question

Mam proste pytanie, ale nie mogę znaleźć nigdzie odpowiedzi. Mam aplikację serwera WCF. Chcę, żeby używała TYLKO TLS1.2.

Nie mam kontroli nad klientem i nie mogę edytować ustawień SCHANNEL na komputerze.

zrobiłem już spróbować następujących składników, które wydaje się działać tylko dla połączeń wychodzących (stronie klienta)

System.Net.ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12 

Czy istnieje jakiś sposób, aby ograniczyć bynajmniej TLS 1.2 serverside za kod?

EDIT: Używam Net.TCP wiążące i tworzą wiązania tak:

private static Binding CreateNetTcpBinding() 
    { 
     return new NetTcpBinding 
     { 
      ReceiveTimeout = TimeSpan.FromMinutes(10), 

      ReliableSession = 
      { 
       Enabled = true, 
       InactivityTimeout = TimeSpan.FromMinutes(1) 
      }, 
      Security = 
      { 
       Mode = SecurityMode.Transport, 
       Transport = 
       { 
        ClientCredentialType = TcpClientCredentialType.Windows, 
        ProtectionLevel = ProtectionLevel.EncryptAndSign, 
        SslProtocols = SslProtocols.Tls12 
       }, 
       Message = 
       { 
        AlgorithmSuite = SecurityAlgorithmSuite.xxx <-- not here on purpose, 
        ClientCredentialType = MessageCredentialType.Windows 
       } 
      } 
     }; 
    } 

Jeśli ktoś może mi powiedzieć, gdzie sprawdzić TLS wersji bieżącego połączenia (kontekst), która też wystarczy!

Z góry dziękuję!

Answer 1

Czy spróbujesz użyć ServicePointManager.ServerCertificateValidationCallback .To zwrotna daje możliwość Sprawdź poprawność certyfikatu serwera przez yourself.For przykład coś takiego Ci:

ServicePointManager.ServerCertificateValidationCallback = MyCertHandler; 
    ... 
static bool MyCertHandler(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors error) 
{ 
    //Your logic here for certificate validation 
} 

Answer 2

skończyłeś próbuje wyłączyć PCT 1.0, SSL 2.0, SSL 3.0 lub TLS 1.0 w IIS? można postępować w ten sposób: How to disable PCT 1.0, SSL 2.0, SSL 3.0, or TLS 1.0 in Internet Information Services

Answer 3

Istnieje wprawdzie kilka właściwości w ServicePointManager obok SecurityProtocol które są sprawdzane podczas etapu uwierzytelniania, ale wszystkie są internal. Wydaje się również, że nie ma widocznego backdoora, który unieważniłby całą implementację SslStream lub TcpTransportSecurity, która implementuje szkielet Transport Security dla NetTcpBinding.

public partial class ServicePointManager { 
    ... 
    internal static bool DisableStrongCrypto 
    internal static bool DisableSystemDefaultTlsVersions 
    internal static SslProtocols DefaultSslProtocols 
    ... 
} 

Jeśli masz uprawnienia do zapisu do rejestru komputera serwera, sprawdź co @JohnLouros opisane bardzo dobrze rok temu w swoich postów na how to disable weak protocols i how to enable strong cryptography.

Oto kolejny dobry answer z @MattSmith opisujący, jak uwierzytelnianie dla NetTcpBinding jest obsługiwane przez system operacyjny za kulisami.