KNF:TLS1.2

Kennisnet gaat de ondersteuning voor het TLS 1.1 protocol uitfaseren voor haar diensten wegens beveiligingsredenen. We ondersteunen daarna alleen nog TLS 1.2 en hoger. Op de Entree Federatie staging omgeving is TLS 1.1 reeds uitgeschakeld.

Op 24 februari 2020 gaat Kennsinet TLS 1.1 voor Entree Federatie op de productie omgeving uitschakelen.

Sommige .net applicaties kunnen hierdoor niet (goed) communiceren met de servers van Entree Federatie, omdat deze applicaties standaard gebruik maken van TLS 1.1, TLS 1.2 moet specifiek worden aangezet om daarmee te kunnen werken.

ADFS

De metadata van Entree Federatie kan niet meer vanuit een AD FS (Windows Server 2016) machine worden gedownload.

Oorzaak

Op Windows Server 2016 en voorgaande versies, wordt TLS 1.0 als standaard gebruikt. TLS 1.2 moet specifiek worden aangezet om mee te kunnen werken.

Oplossing

Voor ADFS hebben we ondertussen een oplossing (via het bijgesloten Powershell script). Het script bestaat uit 4 stappen, namelijk:

• Enablen TLS 1.2 in registry
• Enablen Strong authentication (nodig voor TLS 1.2)
• Rebooten server
• Updaten relying party trust, zodat metadata geforceerd wordt opgehaald

Meer informatie: https://docs.microsoft.com/en-us/windows-server/identity/ad-fs/operations/manage-ssl-protocols-in-ad-fs

Bijlage
Bestand:Windows enable TLS1 2.zip

Overige .net applicaties

Voor de overige applicaties die op het .net framework gebaseerd zijn wordt geadviseerd om zo snel mogelijk te controleren of de koppeling met Entree Federatie blijft werken op TLS 1.2. De controle kan gedaan worden met behulp van de staging omgeving van Entree Federatie.