Windows 10 v20H2、v21H1、v21H2 の TLS 暗号スイート

暗号スイートは、それらをサポートする TLS バージョンに対してのみネゴシエートできます。 TLS ハンドシェイクでは、サポートされている最も上位の TLS バージョンが常に優先されます。

暗号スイートの可用性は、次の 2 つの方法のいずれかで制御する必要があります。

• 優先順位リストが構成されると、デフォルトの優先順位がオーバーライドされます。 優先順位リストに含まれていない暗号スイートは使用されません。
• アプリケーションが SCH_USE_STRONG_CRYPTO に合格すると許可されます。アプリケーションが SCH_USE_STRONG_CRYPTO フラグを使用すると、Microsoft Schannel プロバイダーは既知の弱い暗号スイートを除外します。 RC4、DES、エクスポート、および null 値 暗号スイートが除外されます。

FIPS コンプライアンスは、このテーブルの以前のバージョンで FIPS モードが有効になっている列に誤解を招くような楕円曲線を追加することで、より複雑になりました。 たとえば、 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 などの暗号スイートは、NIST 楕円曲線を使用する場合にのみ FIPS に準拠します。 FIPS モードで有効になる楕円曲線と暗号スイートの組み合わせを確認するには、TLS 実装の選択、構成、使用に関するガイドラインのセクション 3.3.1 を参照してください。

Windows 10 バージョン v20H2、v21H1、および v21H2 では、Microsoft Schannel プロバイダーを使用して、次の暗号スイートが既定で有効になり、この優先順位で行われます：

次の暗号スイートは Microsoft Schannel プロバイダーでサポートされていますが、既定では有効になっていません。

次の PSK 暗号スイートは、Microsoft Schannel プロバイダーを使用して、既定でこの優先順位で有効になっています。

暗号スイートを追加するには、グループ ポリシーをデプロイするか、TLS コマンドレットを使用します：

• グループ ポリシーを使用するには、[コンピューターの構成] > [管理用テンプレート] > [ネットワーク > SSL 構成設定] で SSL 暗号スイートの順序を構成し、有効にするすべての暗号スイートの優先順位リストを使用します。
• PowerShell を使用するには、「TLS コマンドレット」を参照してください。