Prise en charge de TLS 1.2 pour Microsoft SQL Server

S'applique à : SQL Server
Numéro de base de connaissances d’origine : 3135244

Introduction

Cet article fournit des informations sur les mises à jour que Microsoft publie pour activer la prise en charge de TLS 1.2 pour SQL Server 2017 sur Windows, SQL Server 2016, SQL Server 2014, SQL Server 2012, SQL Server 2008 et SQL Server 2008 R2. Cet article répertorie également les fournisseurs clients pris en charge. SQL Server 2016, SQL Server 2017 et SQL Server 2019 prennent en charge TLS 1.2 sans avoir besoin d’une mise à jour.

Plusieurs vulnérabilités connues ont été signalées par rapport au protocole SSL (Secure Sockets Layer) et aux versions antérieures de TLS (Transport Layer Security). Nous vous recommandons d’effectuer une mise à niveau vers TLS 1.2 pour une communication sécurisée.

Comment savoir si vous avez besoin de cette mise à jour

Utilisez le tableau suivant pour déterminer si votre version actuelle de SQL Server prend déjà en charge TLS 1.2 ou si vous devez télécharger une mise à jour pour activer la prise en charge de TLS 1.2. Utilisez les liens de téléchargement dans la table pour obtenir les mises à jour du serveur applicables à votre environnement.

Téléchargements de composants clients

Utilisez le tableau suivant pour télécharger les composants clients et les mises à jour de pilotes applicables à votre environnement.

Tableau récapitulatif de la prise en charge du pilote client pour TLS 1.2

Le tableau suivant résume la prise en charge des pilotes et fournisseurs SQL Server :

Correctifs supplémentaires nécessaires pour que SQL Server utilise TLS 1.2

Vous devez installer les correctifs cumulatifs .NET suivants pour activer les fonctionnalités SQL Server telles que La messagerie de base de données et certains composants SSIS qui utilisent des points de terminaison .NET qui nécessitent la prise en charge de TLS 1.2 comme la tâche de service web pour utiliser TLS 1.2.

Forum aux questions

• TLS 1.1 est-il pris en charge sur SQL Server 2016 et versions ultérieures ?

  Oui. SQL Server 2016, SQL Server 2017 sur Windows et SQL Server 2019 sur windows sont fournis avec la prise en charge de TLS 1.0 vers TLS 1.2. Vous devez désactiver TLS 1.0 et 1.1 si vous souhaitez utiliser uniquement TLS 1.2 pour la communication client-serveur.

• SQL Server 2019 autorise-t-il les connexions à l’aide de TLS 1.0 ou 1.1, ou uniquement 1.2 ?

  SQL Server 2019 a le même niveau de prise en charge que SQL Server 2016 et SQL Server 2017, et SQL Server 2019 prend en charge les versions antérieures de TLS. SQL Server 2019 RTM est fourni avec la prise en charge de TLS 1.2, et aucune autre mise à jour ou correctif n’est nécessaire pour activer la prise en charge de TLS 1.2.

• TdS est-il affecté par les vulnérabilités connues ?

  Aucune vulnérabilité connue n’a été signalée pour l’implémentation de Microsoft TDS. Étant donné que plusieurs organisations d’application des normes imposent l’utilisation de TLS 1.2 pour les canaux de communication chiffrés, Microsoft publie la prise en charge de TLS 1.2 pour la base d’installation de SQL Server généralisée.

• Comment les mises à jour TLS 1.2 seront-elles distribuées aux clients ?

  Cet article fournit des liens de téléchargement pour les mises à jour appropriées du serveur et du client qui prennent en charge TLS 1.2.

• TLS 1.2 prend-il en charge SQL Server 2005 ?

  La prise en charge de TLS 1.2 est proposée uniquement pour SQL Server 2008 et versions ultérieures.

• Les clients qui n’utilisent pas SSL/TLS sont-ils affectés si SSL 3.0 et TLS 1.0 sont désactivés sur le serveur ?

  Oui. SQL Server chiffre le nom d’utilisateur et le mot de passe lors de la connexion même si un canal de communication sécurisé n’est pas utilisé. Cette mise à jour est requise pour toutes les instances SQL Server qui n’utilisent pas de communications sécurisées et qui ont tous les autres protocoles, sauf TLS 1.2 désactivé sur le serveur.

• Quelles versions de Windows Server prennent en charge TLS 1.2 ?

  Windows Server 2008 R2 et versions ultérieures prennent en charge TLS 1.2.

• Quel est le paramètre de Registre approprié pour activer la communication TLS 1.2 pour SQL Server ?

  Les paramètres de Registre appropriés sont les suivants :

  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001

  Ces paramètres sont requis pour les ordinateurs serveur et client. Les DisabledByDefault paramètres et Enabled les paramètres doivent être créés sur les clients Windows 7 et les serveurs Windows Server 2008 R2. Sur Windows 8 et versions ultérieures des systèmes d’exploitation clients ou du serveur Windows Server 2012 et versions ultérieures des systèmes d’exploitation serveur, TLS 1.2 doit déjà être activé. Si vous implémentez une stratégie de déploiement pour le Registre Windows qui doit être indépendante de la version du système d’exploitation, nous vous recommandons d’ajouter les clés de Registre mentionnées à la stratégie. En outre, si vous utilisez la messagerie de base de données sur votre serveur SQL Server, vous devez également définir les clés de Registre .NET suivantes :

  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v2.0.50727] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001
  • [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SystemDefaultTlsVersions"=dword:00000001 "SchUseStrongCrypto"=dword:00000001

Problèmes connus

• Problème 1

  SQL Server Management Studio (SSMS), Report Server et le Gestionnaire de rapports ne se connectent pas au moteur de base de données après avoir appliqué le correctif pour SQL Server 2008, 2008 R2, 2012 ou 2014. Le serveur de rapports et le Gestionnaire de rapports échouent et retournent le message d’erreur suivant :

  Le serveur de rapports ne peut pas ouvrir une connexion à la base de données du serveur de rapports. Une connexion à la base de données est requise pour toutes les demandes et le traitement. (rsReportServerDatabaseUnavailable)

  Ce problème se produit, car SSMS, Report Manager et Reporting Services Configuration Manager utilisent ADO.NET, et ADO.NET prise en charge de TLS 1.2 est disponible uniquement dans le .NET Framework 4.6. Pour les versions antérieures du .NET Framework, vous devez appliquer une mise à jour Windows afin que ADO.NET puisse prendre en charge les communications TLS 1.2 pour le client. Les mises à jour Windows qui activent la prise en charge de TLS 1.2 dans les versions antérieures du .NET Framework sont répertoriées dans le tableau dans la section Guide pratique pour savoir si vous avez besoin de cette section de mise à jour .

• Problème 2

  Reporting Services Configuration Manager signale le message d’erreur suivant, même après la mise à jour des fournisseurs clients vers une version prenant en charge TLS 1.2 :

  Impossible de se connecter au serveur : une connexion a été établie avec succès sur le serveur, mais une erreur s’est produite lors de l’établissement d’une liaison préalable à la connexion.

  

  Pour résoudre ce problème, créez manuellement la clé de Registre suivante sur le système qui héberge le Gestionnaire de configuration de Reporting Services :

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client: "Enabled"=dword:00000001

• Problème 3

  La communication de point de terminaison chiffrée qui utilise TLS 1.2 échoue lorsque vous utilisez des communications chiffrées pour les groupes de disponibilité, la mise en miroir de bases de données ou Service Broker dans SQL Server. Un message d’erreur semblable à celui suivant est enregistré dans le journal des erreurs SQL :

  Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 56.
  

  Pour plus d’informations sur ce problème, consultez CORRECTIF : La communication de point de terminaison chiffrée avec TLS 1.2 échoue lorsque vous utilisez SQL Server.

• Problème 4

  Diverses erreurs se produisent lorsque vous essayez d’installer SQL Server 2012 ou SQL Server 2014 sur un serveur sur lequel TLS 1.2 est activé.

  Pour plus d’informations, consultez CORRECTIF : Erreur lorsque vous installez SQL Server 2012 ou SQL Server 2014 sur un serveur sur lequel TLS 1.2 est activé.

• Problème 5

  Une connexion chiffrée avec la mise en miroir de bases de données ou les groupes de disponibilité ne fonctionne pas lorsque vous utilisez un certificat après avoir désactivé tous les autres protocoles autres que TLS 1.2. Un message d’erreur semblable à celui suivant est enregistré dans le journal des erreurs SQL Server :

  Une connexion chiffrée avec la mise en miroir de bases de données ou les groupes de disponibilité ne fonctionne pas lorsque vous utilisez un certificat après avoir désactivé tous les autres protocoles autres que TLS 1.2. Vous remarquerez peut-être l’un des symptômes suivants :

  • Symptôme 1 :

    Un message d’erreur semblable à celui suivant est enregistré dans le journal des erreurs SQL Server :

    Connection handshake failed. An OS call failed: (80090331) 0x80090331(The client and server cannot communicate, because they do not possess a common algorithm.). State 58.'
    

  • Symptôme 2 :

    Un message d’erreur semblable à celui suivant est enregistré dans le journal des événements Windows :

    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36888
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      ------------
    Description:
    A fatal alert was generated and sent to the remote endpoint. This may result in termination of the connection. The TLS protocol defined fatal error code is 40. The Windows SChannel error state is 1205.
    
    Log Name:      System
    Source:        Schannel
    Date:          <Date Time>
    Event ID:      36874
    Task Category: None
    Level:         Error
    Keywords:     
    User:          SYSTEM
    Computer:      -----------
    Description:
    An TLS 1.2 connection request was received from a remote client application, but none of the cipher suites supported by the client application are supported by the server. The SSL connection request has failed.
    

    Ce problème se produit parce que les groupes de disponibilité et la mise en miroir de bases de données nécessitent un certificat qui n’utilise pas d’algorithmes de hachage de longueur fixe, tels que MD5. Les algorithmes de hachage de longueur fixe ne sont pas pris en charge dans TLS 1.2.

  Pour plus d’informations, consultez CORRECTIF : La communication à l’aide de l’algorithme de hachage MD5 échoue si SQL Server utilise TLS 1.2.

• Problème 6

  Les versions suivantes du moteur de base de données SQL Server sont affectées par le problème de terminaison de service intermittent signalé dans l’article de la Base de connaissances 3146034. Pour que les clients se protègent contre le problème de terminaison de service, nous vous recommandons d’installer les mises à jour TLS 1.2 pour SQL Server mentionnées dans cet article si leur version de SQL Server est répertoriée dans le tableau suivant :

  Version de SQL Server	Version affectée
  SQL Server 2008 R2 SP3 (x86 et x64)	10.50.6537.0
  SQL Server 2008 R2 SP2 GDR (IA-64 uniquement)	10.50.4046.0
  SQL Server 2008 R2 SP2 (IA-64 uniquement)	10.50.4343.0
  SQL Server 2008 SP4 (x86 et x64)	10.0.6543.0
  SQL Server 2008 SP3 GDR (IA-64 uniquement)	10.0.5544.0
  SQL Server 2008 SP3 (IA-64 uniquement)	10.0.5894.0

• Problème 7

  La messagerie de base de données ne fonctionne pas avec TLS 1.2. La messagerie de base de données échoue avec l’erreur suivante :

  Microsoft.SqlServer.Management.SqlIMail.Server.Common.BaseException : les informations de configuration de messagerie n’ont pas pu être lues à partir de la base de données. Impossible de démarrer la session de messagerie.

  Pour plus d’informations, consultez Correctifs supplémentaires nécessaires pour que SQL Server utilise TLS 1.

Erreurs courantes que vous pouvez rencontrer lorsque les mises à jour TLS 1.2 sont manquantes sur le client ou le serveur

Problème 1

System Center Configuration Manager (SCCM) ne peut pas se connecter à SQL Server une fois le protocole TLS 1.2 activé sur SQL Server. Dans ce cas, le message d’erreur ci-dessous s’affiche :

Fournisseur TCP : une connexion existante a dû être fermée par l'hôte distant

Ce problème peut se produire lorsque SCCM utilise un pilote SQL Server Native Client qui n’a pas de correctif. Pour résoudre ce problème, téléchargez et installez le correctif client répertorié dans la section Téléchargements du composant client. Par exemple, Microsoft® SQL Server® 2012 Native Client - QFE.

Vous pouvez déterminer quel pilote SCCM utilise pour se connecter à SQL Server en consultant le journal SCCM, comme illustré dans l’exemple suivant :

[SQL Server Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>Native Client 11.0]TCP Provider: An existing connection was forcibly closed by the remote host.~~  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** [08001][10054][Microsoft][SQL Server Native Client 11.0]Client unable to establish connection  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 *** Failed to connect to the SQL Server, connection type: SMS ACCESS.  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>
 INFO: SQL Connection failed. Connection: SMS ACCESS, Type: Secure  $$<Configuration Manager Setup><08-22-2016 04:15:01.917+420><thread=2868 (0xB34)>