windows - Microsoft Windows 上的 DisabledByDefault 和 Enabled SSL/TLS 注册表项有什么区别？

Question

Microsoft 提供传输层安全性 (TLS) 的最佳实践指南。本文档描述了可以启用或禁用特定协议(protocol)的注册表项。

https://learn.microsoft.com/en-us/dotnet/framework/network-programming/tls#configuring-schannel-protocols-in-the-windows-registry

例如，要启用 TLS 1.2，您可以添加以下注册表项。

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:FFFFFFFF

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:FFFFFFFF

DisabledByDefault 和 Enabled 有什么区别？它们似乎是多余的。

Answer 1

DisabledByDefault 和 Enabled 不是多余的

当 DisabledByDefault 标志设置为 1 时，默认情况下不使用 SSL/TLS 版本 X。如果 SSPI 应用程序请求使用此版本的 SSL/TLS，将进行协商。简而言之，当您使用 DisabledByDefault 标志时，SSL 不会被禁用。

当 Enabled 标志设置为 0 时，SSL/TLS 版本 X 被禁用并且不能被任何 SSPI 应用协商(即使 DisabledByDefault 标志设置为 0) .

欲了解更多信息，Microsoft documentation描述维护或不维护的 SSL 版本，以及如何禁用它。