Aktuelle TLS-Versionen und Cipher für ältere Windowsserver aktivieren

Letzte Aktualisierung 14.07.2021

Wenn man einen lokalen Exchange betreibt und Probleme beim Mailabruf über POP3-Connector bekommt, weil der Mailserver nur noch aktuelle TLS-Versionen unterstützt, kann man diese mit IIS Crypto schnell nachinstallieren und aktivieren.

Manuelle Anpassung

Je nach eingesetzter Windowsversion des Exchange müssen dort die modernen GCM Cipher noch manuell aktiviert werden.

Die Cipher wären:

DHE-RSA-AES128-GCM-SHA256
DHE-RSA-AES256-GCM-SHA384

Die beiden fraglichen Cipher unterstützt Windows seit Windows 7 bzw. Server 2008R2 (also seit Unterstützung für TLS 1.2)

Dies kann mit folgendem Vorgehen erreicht werden:

1. Regedit öffnen und zu
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002 navigieren
2. Den Wert für die Zeichenfolge „Functions“ um die Zeichenfolge
   „TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,“ erweitern. Den Wert am Anfang einfügen (Priorität!) und die Kommata beachten.
3. Das Windows-System ggf. neu starten