在只允许TLS 1.0后，TLS 1.2握手仍然是可能的

Question

我的一位客户在操作系统级别关闭了TLS 1.0。从那以后，与我们产品的连接就不起作用了。客户没有使用的最新版本。NET 4.6.1。

因为我们没有指定使用的协议，所以我们依赖默认值。根据https://support.microsoft.com/en-us/help/3069494/cannot-connect-to-a-server-by-using-the-servicepointmanager-or-sslstre。NET 4.6默认启用TLS 1.2，这将是完美的，也是我们想要的。

为了更好地理解，我想尝试一些配置。我指定只允许TLS 1.0在代码级别使用：

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls;

为了测试握手，我使用了openssl。它完全适用于TLS 1.0，这是应该的。但是令我惊讶的是，握手也适用于TLS 1.2。

$ openssl s_client -connect localhost:30050 -tls1_2
<..snip..>
SSL-Session:
    Protocol  : TLSv1.2
    <..snip..>

有一些吗。我监管的是NET还是TLS规则？据我所知，在将TLS 1.0指定为唯一协议时，TLS 1.2不应成为可能。

Answer 1

mjwills在评论中问道，SecurityProtocol-属性是否影响入站或出站连接。

经过一些研究后，我发现了一篇文章：如何禁用SSL回退，并在中仅对出站连接使用TLS。网（贵宾犬缓解）有一条评论可以回答这个问题：

如果您从. NET代码启动出站连接，例如从服务器上运行的自定义代码连接到Web服务或API，则只需设置System. Net. ServicePointManager. SecurityProtocol。如果您只运行一个简单的网站，并且只接受来自浏览器的传入连接，则注册表修复就足够了。