Windows系统SSL 3.0与TLS版本对应关系

Windows系统SSL 3.0与TLS版本对应关系：TLS 1.0/1.2/1.3支持情况

Windows 中的 SSL/TLS 协议由 Schannel SSP 提供，不同 Windows 版本支持的协议范围不同。

SSL 3.0 是 Netscape 开发的早期协议，TLS 1.0 是 IETF 在此基础上标准化形成的后续协议，两者是继承关系但不是同一个协议，客户端和服务器需要分别支持对应版本才能建立连接。

按 Microsoft 当前 Schannel 支持矩阵：Windows 8/Server 2012 起支持 TLS 1.2，TLS 1.3 的 Schannel 支持从 Windows 11 和 Windows Server 2022 开始；SSL 3.0 在 Windows 10 1607 和 Server 2016 起默认禁用，TLS 1.0/1.1 正逐步弃用。 生 产环境应优先使用 TLS 1.2 或 TLS 1.3。配置协议版本通过注册表或组策略，修改后需重启相关应用，并应以实际 TLS 握手结果验证，而不是只看注册表状态。

排查 Windows 服务器的 HTTPS 兼容问题时，最先要弄清楚的是"这台 Windows 支持哪些 TLS 版本"。答案由 Schannel 决定，不同版本支持范围差异很大：TLS 1.3 不是所有新版系统都有，SSL 3.0 早已被默认禁用。证书与协议版本的配合关系，可以参考证书与 TLS 协议的配合。

SSL 3.0 与 TLS 1.0 的关系

SSL 3.0 是 Netscape 开发的早期安全通信协议，TLS 1.0 是 IETF 在此基础上标准化形成的后续协议。两者虽然技术上存在继承关系，但 SSL 3.0 不等于 TLS 1.0，它们是不同的协议版本，客户端和服务器需要分别支持对应版本才能建立连接。

从安全性看，SSL 3.0 已不适合生产环境，最著名的问题是 POODLE 攻击——攻击者利用协议和密码套件弱点实施降级和明文恢复攻击。Windows 10 1607 和 Windows Server 2016 开始，Schannel 已默认禁用 SSL 3.0；更早版本可能仍保留支持，需要通过安全策略关闭。

Windows 的 SSL/TLS 由谁负责？

Windows 原生环境中，SSL/TLS 主要由 Schannel SSP 提供，负责协议协商、身份认证、密钥协商、加密通信、协议版本控制和部分密码套件选择。

关键限制：Schannel 配置只影响使用 Schannel 的应用和服务。如果应用自行集成 OpenSSL、BoringSSL 或其他 TLS 库，修改 Windows Schannel 注册表不会自动改变该应用的协议支持。这也是"注册表改了协议没变"的常见原因之一。

不同 Windows 版本的 TLS 支持矩阵

"支持"和"默认启用"要区分：支持表示系统具备该协议能力，实际使用还取决于 Schannel 配置、应用行为和双方协商结果。Windows 8/Server 2012 开始支持 TLS 1.2，不代表默认强制使用 TLS 1.2；TLS 1.3 的 Schannel 支持从 Windows 11 和 Windows Server 2022 开始，更早版本通过系统 Schannel 开启 TLS 1.3 不是受支持的安全配置。Windows 10 上应用能用 TLS 1.3，很可能是应用自带了第三方 TLS 库，不是 Schannel 本身提供。

TLS 1.0/1.1 的现状

很多 Windows 版本仍保留 TLS 1.0/1.1 的 Schannel 支持，但 Microsoft 正逐步弃用：从 2024 年的 Windows 11 Insider Preview 和 Windows Server Insider Preview 开始默认禁用。正式版的具体行为以当前 Windows build 和官方文档为准。

对生产 HTTPS 服务来说，没有继续依赖 TLS 1.0/1.1 的必要，应优先使用 TLS 1.2 或 TLS 1.3。应用因为 TLS 1.0/1.1 弃用出现连接问题时，优先升级应用而不是重新启用旧协议。连接问题的排查方向可以参考TLS 连接失败的处理。

怎么配置和验证协议版本

Schannel 协议版本通过注册表配置，路径为：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

每个协议（SSL 3.0、TLS 1.0、TLS 1.1、TLS 1.2、TLS 1.3）下可分别设置 Client 和 Server 的 Enabled、DisabledByDefault。除非没有替代方案，不建议直接改注册表重新启用已弃用的 TLS 1.0/1.1，更推荐通过组策略或其他 Windows 管理工具配置。Windows 服务器上的证书部署与协议配置可以参考证书部署的服务器操作。

修改后要注意：协议配置影响后续创建的 credential handle，很多应用会复用已有的句柄，修改后需要重启相关应用或服务才能生效，不能只看注册表改成 Enabled=0 就认为服务器已停止接受对应协议。

验证实际生效情况，从公网用 TLS 检测工具分别测试 TLS 1.0/1.1/1.2/1.3 是否接受连接，可以用TLS 版本在线检测；也可以本地用 OpenSSL：

openssl s_client -connect example.com:443 -tls1_2
openssl s_client -connect example.com:443 -tls1_3

能完成对应版本握手说明该 TLS 终端支持该版本。注意 OpenSSL 测试的是公网实际 TLS 终端：如果 IIS 后面还有 CDN、WAF、负载均衡，接受握手的可能是这些设备，而不是 Windows 服务器本身。

常见问题解答

SSL 3.0 和 TLS 1.0 是一样的吗？

不是。TLS 1.0 由 IETF 在 SSL 3.0 基础上标准化，但两者是独立协议版本，客户端和服务器需要分别支持对应版本才能建立连接。

Windows 10 支持 TLS 1.3 吗？

Windows 10 的 Schannel 不支持 TLS 1.3，TLS 1.3 的 Schannel 支持从 Windows 11 和 Windows Server 2022 开始。应用能用 TLS 1.3 可能是自带第三方 TLS 库。

修改了 Schannel 注册表，为什么 TLS 版本没变？

协议配置影响后续创建的 credential handle，已建立连接和应用复用的句柄不受影响，修改后需要重启相关应用或服务。

生产环境应该启用哪些 TLS 版本？

优先 TLS 1.2 和 TLS 1.3。TLS 1.0/1.1 不建议使用，SSL 3.0 已淘汰；不为了兼容未知旧客户端盲目开启旧协议。

Windows 中的 SSL/TLS 由 Schannel 实现，各版本支持的协议不同：SSL 3.0 已淘汰（较新 Windows 默认禁用，POODLE 是典型风险）；TLS 1.0 与 SSL 3.0 是继承关系但属独立协议；Windows 8/Server 2012 起支持 TLS 1.2，TLS 1.3 的 Schannel 支持从 Windows 11 和 Server 2022 开始；TLS 1.0/1.1 正逐步弃用。生产环境优先 TLS 1.2/1.3，配置后重启应用，并用实际 TLS 握手结果验证。