Neu Kein JTL 1.8 mit Windows 10 möglich - Eure Erfahrungen mit 1.8 und TLS 1.3

[Cassiopeia]

Hallo, meine Frage bezieht sich auf das neue JTL 1.8 und das damit einhergehende Update auf TLS 1.3.

Ich stehe vor der Herausforderung das ich keine konkrete valide Aussage bekomme wie hier vorzugehen ist.

Mein Datenbankhoster und Partner von JTL sagt:
- JTL 1.8 ist auch mit TLS 1.2 nutzbar und es betrifft nur das Shop Hosting was TLS 1.3 voraussetzt. Somit kann auch Windows 10 was kein TLS 1.3 unterstützt und ein Datenbankserver 2019 der kein TLS 1.3 unterstützt wird genutzt werden.


JTL sagt widderum:
Für den Betrieb der Wawi 1.8 auf den Clients wird auch TLS 1.3 benötigt, da ansonsten die Verschlüsselung nicht korrekt funktioniert und Sie ggf. Probleme mit der neuen Lizenzverwaltung bekommen könnten. Es gibt leider kein Möglichkeit, TLS 1.3 unter Windows 10 zu aktivieren.

Jetzt wollte ich mal fragen was hier eure Erfahrungen sind, da mein Bauchgefühl mir aktuell sagt das wir lieber ALLE PCs, und das sind nicht wenig, auf Windows 11 mit TLS 1.3 updaten sollten, sowie den Datenbank Server auf Windows 2022 mit TLS 1.3.

Das gleiche Problem gab es damals bei TLS 1.2, das es immer wieder widersprüchliche und gegeneinander stehende Aussagen bei IT Dienstleistern gab (damals hatte ich noch kein JTL).

 

[SebiW]

Hier frage ich mich eh wo das her kommt. TLS 1.3 wird unter Win 10 doch seit der 1903?
https://sockettools.com/kb/windows-and-supported-tls-versions/
https://answers.microsoft.com/en-us...ndows-10/f9ab4993-4758-4de3-a7f9-54a47b61cc77

Wo hast Du denn das mit dem Betrieb her? Ich habe bisher nix diesbezüglich gelesen. Sollte die 1.8. W11 voraussetzen wäre das äusserst unerfreulich.

 

[_simone_]

Wenn kein TSL 1.3 verfügbar ist, sollte doch auf TSL 1.2 der Betrieb laufen. Wir hatten ein paar Probleme mit dem Worker aber schlußendlich läuft es doch.

 

[Cassiopeia]

Hier frage ich mich eh wo das her kommt. TLS 1.3 wird unter Win 10 doch seit der 1903?
https://sockettools.com/kb/windows-and-supported-tls-versions/
https://answers.microsoft.com/en-us...ndows-10/f9ab4993-4758-4de3-a7f9-54a47b61cc77

Wo hast Du denn das mit dem Betrieb her? Ich habe bisher nix diesbezüglich gelesen. Sollte die 1.8. W11 voraussetzen wäre das äusserst unerfreulich.

Ich hatte ein Ticket bei JTL aufgemacht und das war die Antwort von einem Mitarbeiter.
Hab eben auch gelesen das bei 1903 TLS 1.3 wohl aktivierbar ist.

@_simone_ was für Betriebssysteme habt ihr aktuell im Einsatz ?


Da das damals bei 1.2 das gleiche war, das alle was unterschiedliches gesagt haben und keine klaren direkten Aussagen irgendwo standen wollte ich daher diesmal das ganze in meine Planung einbeziehen,
da ein reibungsloser Ablauf nach dem Update bei unserer Größe wichtig ist.

 

[_simone_]

@_simone_ was für Betriebssysteme habt ihr aktuell im Einsatz ?

Win10 (Server f. DB) + Win 7
(s.a. Footer)
TSL 1.3 ist überall deaktiviert, auch in der Registry.

 

[Cassiopeia]

Ok das beruhigt mich auf der einen Seite das es bei dir dann trotz altem Setup geht und beunruhigt mich auf der andern Seite da JTL sagt Win 11 und TLS 1.3 sind Vorgabe

 

[mh1]

Hier frage ich mich eh wo das her kommt. TLS 1.3 wird unter Win 10 doch seit der 1903?

Man muss unterscheiden ob der Rechner als Server TLS 1.3 bereitstellt oder sich als Client zu einem Server verbindet der TLS bereitstellt.

Die Komponente in Windows, die Verschlüsselung bereitstellt, der sog. Security Provider heißt SCHANNEL. In Windows 10 läßt sich der TLS 1.3 Client in dem Registry Key [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.3\Client] aktvieren.
Konkret heißt das, wenn ich mich mit meinem Win 10 Desktop zu einem Server verbinden will, der eine TLS 1.3 Verbindung verlangt, dann muss ich den TLS-1.3 Client in der Registry anschalten.

Das andere ist TLS 1.3 Server. Das läßt sich auf Win 10 nicht aktivieren (jedenfalls nicht mit SCHANNEL).

 

[JohnFrea]

JTL sagt widderum:
Für den Betrieb der Wawi 1.8 auf den Clients wird auch TLS 1.3 benötigt, da ansonsten die Verschlüsselung nicht korrekt funktioniert und Sie ggf. Probleme mit der neuen Lizenzverwaltung bekommen könnten. Es gibt leider kein Möglichkeit, TLS 1.3 unter Windows 10 zu aktivieren.

Quelle?

 

[SebiW]

Jo, aber da es bspw bei Simone wohl keine Probleme gibt scheint der Serverteil von der Wawi nicht benötigt zu werden. Schreibt JTL ja selber auch im entsprechenden Ticket:
https://issues.jtl-software.de/issues/WAWI-70939

Um hier keine Missverständnisse zu erwecken. JTL-Wawi unterstützt weiterhin auch TLS1.2 und ab dieser Ticketversion im Betrieb von Windows 11 zusätzlich TLS1.3.
...
Seitens unserer Dienste gibt es aktuell keine Planungen, die Unterstützung von TLS 1.2 einzustellen.

 

[Cassiopeia]

Quelle?

Quelle ist Ticket was ich bei JTL aufgemacht habe und Antwort von einem Mitarbeiter von JTL darauf.

@SebiW das heißt ich lese das so, das sollte mein DATENBANK HOSTER auf TLS1.3 only umstellen und 1.2 abstellen hab ich ein Problem wenn ich noch Windows 10 Clients habe.
Weil hier immer vom SHOP die Rede in dem Issue ist.

Soll heißten JTL unterstützt zwar TLS 1.3 aber DENNOCH 1.2. Sprich ich muss nicht das Windows 11 und Windows Server 2022 Update forcieren, da TLS 1.2 unterstützt wird solange der ANBIETER nicht auf TLS 1.3 only umstellt (was ich auch ziemlich krass finden würde so eine harten Cut zu machen).

Weil so eine harte Umstellung macht man ja nicht für gewöhnlich von heute auf morgen sondern lässt den Leuten ein paar Monate Zeit.

So wie damals die Umstellung auf O-Auth überall.

 

[SebiW]

@Cassiopeia in dem Ticket geht es nicht um DB Hosting sondern um Shop Hostings. Manche Shophoster schalten TLS 1.2 nur auf Nachfrage ein und laufen sonst ausschließlich auf TLS 1.3.

Soweit ich das lese hast Du auch dann auf den Clients nur ein Problem, wenn alle die Shopabgleiche fahren sollen. Läuft dafür ein Worker muss halt die entsprechende Maschine TLS 1.3 können. Und im Normalfall kann man auf Shopseite auch schlicht TLS 1.2 wieder aktivieren (lassen).

Und wenn Dein Shophoster sagt TLS 1.3 oder nix würd ich schlicht nenn anderen Hoster für den Shop suchen.

 

[Verkäuferlein]

Hier frage ich mich eh wo das her kommt. TLS 1.3 wird unter Win 10 doch seit der 1903?
https://sockettools.com/kb/windows-and-supported-tls-versions/
https://answers.microsoft.com/en-us...ndows-10/f9ab4993-4758-4de3-a7f9-54a47b61cc77

Wo hast Du denn das mit dem Betrieb her? Ich habe bisher nix diesbezüglich gelesen. Sollte die 1.8. W11 voraussetzen wäre das äusserst unerfreulich.

Irgendwie gibt es da etwas widersprüchliche Informationen.

Laut IT-Grundschutz vom BSI hat Windows 10 22H2 keine TLS 1.3 Funktionalität.

Laut dem hier auch nicht zwischen 1903 und 22H2:
https://learn.microsoft.com/de-de/windows/win32/secauthn/protocols-in-tls-ssl--schannel-ssp-

Und dann gibt es ja noch folgenden Blog-Beitrag von JTL zu dem Thema:
https://www.jtl-software.de/blog/loesungen-von-jtl/shop-hosting-sicherheitsprotokoll-tls-1-3

Den Absatz hier im Blog-Beitrag finde ich fast schon süß, wenn man sich anguckt, wie die JTL-Produkte teilweise gepflegt und auf dem aktuellsten Stand sind:

Software-Sicherheit geht nicht ohne Software-Aktualität​

Neben der Gewährleistung guter Usability und Effizienz ist der Faktor Software- und Datensicherheit mit Abstand der wichtigste Grund, Euch regelmäßig um Updates zu kümmern. Das bringt auf den ersten Blick zwar keinen direkten Gewinn für Euren Handel, bildet jedoch die Grundvoraussetzungen für unternehmerischen Erfolg. Schließlich ist das Vertrauen von Kunden und Geschäftspartnern im E-Commerce eine der wertvollsten Währungen überhaupt.

Allerdings finde ich 2 Dinge an der TLS-Umstellung etwas seltsam:
1.) Warum unterstützt ein noch knapp 2 Jahre supportetes Microsoft Betriebssystem nicht diesen (demnächst) aktuellen Standard?
2.) Warum sollte TLS 1.2 sofort abgeschaltet werden, wenn es noch diverse Windows 10 Installationen und Support dafür gibt und selbst TLS 1.0 und TLS 1.1 noch (zumindest bis vor kurzem) genutzt werden / wurden?

Grundsätzlich mag TLS 1.3 besser und sicherer sein, aber mir ist jetzt kein so gravierendes Problem bekannt, dass ich jetzt sofort alles auf Windows 11 umstellen würde (müsste).
Hat da jemand andere Erkenntnisse?

 

[SebiW]

TLS 1.2 wird von Providern abgeschaltet bzw standardmässig nicht mehr aktiviert weil weniger Optionen immer einfacher zu verwalten sind. Erstmal ausschalten, wenn wer schreit schaltet mans halt wieder ein. Spart Geld und Zeit.

Und selbst dann langts ja, dass der Worker auf einem System mit TLS 1.3 läuft. Auch der auf Win 10 basierende Server 2016 wird ja bis 12. Jan. 2027 supportet. Insofern halte ich es für sehr unwahrscheinlich, dass TLS 1.2 zeitnah von der Bildfläche verschwindet...

 

[Cassiopeia]

@Cassiopeia in dem Ticket geht es nicht um DB Hosting sondern um Shop Hostings. Manche Shophoster schalten TLS 1.2 nur auf Nachfrage ein und laufen sonst ausschließlich auf TLS 1.3.

Soweit ich das lese hast Du auch dann auf den Clients nur ein Problem, wenn alle die Shopabgleiche fahren sollen. Läuft dafür ein Worker muss halt die entsprechende Maschine TLS 1.3 können. Und im Normalfall kann man auf Shopseite auch schlicht TLS 1.2 wieder aktivieren (lassen).

Und wenn Dein Shophoster sagt TLS 1.3 oder nix würd ich schlicht nenn anderen Hoster für den Shop suchen.

Also in meinem Ticket ging es um beides was ich an JTL geschrieben habe. In meinem Fall ist JTL unser Shop Hoster und die unterstützen ja noch 1.2 als Fallback oder hab ich das falsch verstanden ?
Weil der Artikel bezieht sich ja auf Drittanbieter und JTL selber ist ja dann kein Drittanbieter:

https://www.jtl-software.de/blog/loesungen-von-jtl/shop-hosting-sicherheitsprotokoll-tls-1-3

So wie ich das aktuell sehe kann ich also updaten da mein DB Hoster 1.2 noch unterstützt und JTL dies auch. Ich warte grade noch auf eine definitive Aussage von JTL. Vielleicht ist ein JTL Mod hier im Beitrag ?

 

[SebiW]

Dein Update wird keinen Unterschied machen. Wenn Dein Shop nur noch mit 1.3 gehosted würde, dann würde es Dir auch nix helfen eine Wawi zu haben, die nur 1.2 kann.
Im Sinne von, es ist völlig egal ob eine Verbindung nicht zustande kommt weil Dein Shop nur 1.3 kann, Deine Wawi auch 1.3 kann, Dein Betriebssystem aber nicht.
Oder ob eine Verbindung nicht zustande kommt weil Dein Shop nur 1.3 kann, Deine Wawi aber nur 1.2.

Insofern kannst Du schlicht updaten wenn Du das willst.

 

[mh1]

Allerdings finde ich 2 Dinge an der TLS-Umstellung etwas seltsam:
1.) Warum unterstützt ein noch knapp 2 Jahre supportetes Microsoft Betriebssystem nicht diesen (demnächst) aktuellen Standard?

Bezüglich der Aussage "Win 10 kann kein TLS 1.3":

Ein Programm, das eine verschlüsselte Verbindung herstellt, also der Client muss die gleiche TLS Version unterstützen, wie der Server.
Das bedeutet, man muss das Clientprogramm (nicht das Betriebssystem) entsprechend programmieren.

Windows hat so wie jedes moderne Betriebssystem eine Systemkomponente für diese Verschlüsselungsaufgaben (die Komponente heißt SChannel).
Jetzt kann ich mein Clientprogram so programmieren, dass es einfach diese Systemkomponente und deren Einstellungen benutzt, oder ich programmier da was eigenes in mein Clienttprogramm und binde eine andere Kryptobibliothek ein (z.b. OpenSSL, GnuTLS,NSS...)
Z.b. nutzt der Firefox unter Windows SChannel aber auf anderen Systemen NSS.

Ihr könnt ja mal mit dem Windows Firefox auf https://browserleaks.com/tls und schauen, ob TLS 1.3 in eurem SChannel bereits aktiviert ist. Auf einem aktuellen Win 10 ist es das auch. In alten Versionen muss das mit dem Registry Key reingebastelt werden.

Wie jetzt die Wawi eine verschlüsselte Verbindung aufbaut weiß ich nicht, aber sobald der angefragte Server (das kann den DB-Server betreffen oder den Connector/ Shop oder ein Lizenzserver ...oder wer weiß was in 1.99x noch alles kommt) sagt "du kommst hier nur mit TLS 1.3 rein", dann muss in der Kryptobibliothek die die Wawi benutzt auch TLS 1.3 aktiviert sein.

 

[Verkäuferlein]

Ein Programm, das eine verschlüsselte Verbindung herstellt, also der Client muss die gleiche TLS Version unterstützen, wie der Server.
Das bedeutet, man muss das Clientprogramm (nicht das Betriebssystem) entsprechend programmieren.

Windows hat so wie jedes moderne Betriebssystem eine Systemkomponente für diese Verschlüsselungsaufgaben (die Komponente heißt SChannel).
Jetzt kann ich mein Clientprogram so programmieren, dass es einfach diese Systemkomponente und deren Einstellungen benutzt, oder ich programmier da was eigenes in mein Clienttprogramm und binde eine andere Kryptobibliothek ein (z.b. OpenSSL, GnuTLS,NSS...)
Z.b. nutzt der Firefox unter Windows SChannel aber auf anderen Systemen NSS.

Ihr könnt ja mal mit dem Windows Firefox auf https://browserleaks.com/tls und schauen, ob TLS 1.3 in eurem SChannel bereits aktiviert ist. Auf einem aktuellen Win 10 ist es das auch. In alten Versionen muss das mit dem Registry Key reingebastelt werden.

Das ist ja richtig, es geht ja aber um die native Unterstützung seitens des Betriebssystems, die bei Windows eben über SChannel abläuft.

Wenn diese gegeben ist, warum steht dann Microsoft selber nicht dazu (siehe Link von oben)!?:
https://learn.microsoft.com/de-de/windows/win32/secauthn/protocols-in-tls-ssl--schannel-ssp-

Oder gibt es noch eine Unterscheidung zwischen 32- und 64-Bit Installationen von Windows?

Da JTL ja eben diesen Blog-Beitrag (https://www.jtl-software.de/blog/loesungen-von-jtl/shop-hosting-sicherheitsprotokoll-tls-1-3) postet und als Lösung den Umstieg auf Win11 (bzw. dessen Derivate) benennt, gehe ich mal davon aus, dass die Wawi die native (Client-)Unterstützung nutzt.

Tatsächlich gibt mir der von Dir gepostete Link in allen Browsern eine TLS 1.3 Unterstützung trotz Win10 (64-Bit) als gegeben an. Aber woher weiß ich dann, dass diese auch tatsächlich über den gleichen Weg erfolgt, wie die Wawi Ihre verschlüsselte Verbindung aufbaut?

 

[hula1499]

Kleine Frage:
https://caniuse.com/tls1-3 / https://www.lambdatest.com/web-technologies/tls1-3
Alle "relevanten" Browser können ja 1.3

Wenn jetzt der Server, auf dem die WaWi läuft
.) Win 11/2022 ist und demnach 1.3 hat/kann
.) am Webserver 1.3 aktiv ist
.) der WaWi Server Worker/Workflows/Abgleich macht
ABER
.) noch clients mit Win 10 im System sind, die teilweise auch Zahlungsabgleich machen

kann ich dann TLS 1.2 am Server abdrehen?

 

[Verkäuferlein]

kann ich dann TLS 1.2 am Server abdrehen?

Das kann man ja so einfach nicht beantworten oder besser gesagt mit "Kommt drauf an."

Wenn z.B. die Verbindung auf den SQL-Server auch SSL/TLS gesichert ist, stellt sich ja wieder die Frage, wie die Kompatibilität von WIN10 und TLS 1.3 zu bewerten ist.
Wenn zwischen Client und Server keine Verbindung über TLS 1.2 läuft oder benötigt wird, tut das vermutlich nicht aua. Wenn Du dann wiederum per RDP / VPN auf den Server willst, wird's spannend.

Viel spannender wäre für mich auch die Frage, wie das eigentlich bei Android MDEs, etc. aussieht, die sich mit dem Server für die Mobile App verbinden oder POS, etc. pp., das sind ja nicht unbedingt Geräte, die man mit jedem Android-Update austauscht und die meistens auch keine Internetanbindung benötigen sondern nur im lokalen Netz dümpeln.

 

[mh1]

Wenn diese gegeben ist, warum steht dann Microsoft selber nicht dazu (siehe Link von oben)!?:

Microsoft hatte mit dem Build 20170 angekündigt, dass TLS 1.3 enabled wird. Das wurde dann in den Stable 21H1 übernommen.
https://blogs.windows.com/windows-i...ncing-windows-10-insider-preview-build-20170/

Tatsächlich gibt mir der von Dir gepostete Link in allen Browsern eine TLS 1.3 Unterstützung trotz Win10 (64-Bit) als gegeben an. Aber woher weiß ich dann, dass diese auch tatsächlich über den gleichen Weg erfolgt, wie die Wawi Ihre verschlüsselte Verbindung aufbaut?

Das ist genau das, was ich meinte:
Man weiß doch gar nicht, wie die Wawi was aufbaut. Zumindest wissen wir es nicht (du und ich). Die Wawi ist ja auch nicht Opensoure....

Meines (Halb-)Wissens müssten beim Net Framework in der Programmierung auch grundsätzlich andere Strukturen verwendet werden für einen TLS 1.3 Handshake (der Verweis auf SCH_CREDENTIALS steht auch in dem Blogartikel, den ich oben verlinkt habe).
Ähnlich wie wenn du bei PHP 8 jetzt andere Funktionsaufrufe verwenden musst und dann funktioniert deine an PHP 7 angepasste Web App halt nicht mehr