Windows平台PowerShell能否通过CipherSuitesPolicy设置特定加密套件？

你提到的情况是准确的：.NET的System.Net.Security.CipherSuitesPolicyAPI在Windows平台确实无法实例化，这是跨平台.NET API的平台差异导致的。但Windows平台并非无法实现设置特定加密套件的需求，以下是两种可行方案：

方案1：通过注册表配置系统级加密套件 #

Windows系统的TLS加密套件由Schannel组件控制，相关配置存储在注册表中，你可以通过修改注册表来启用/禁用特定加密套件，并调整它们的优先级。

关键注册表路径 #

• 加密套件启用状态：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers
  • 每个子项对应一个加密套件，设置Enabled值为0（禁用）或0xffffffff（启用）
• TLS协议版本控制：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
  • 可在对应TLS版本（如TLS 1.2、TLS 1.3）的子项中启用/禁用协议
• WinHTTP默认协议：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\DefaultSecureProtocols（64位系统需同时修改Wow6432Node下的对应路径）

注意事项 #

• 修改注册表后需要重启系统才能生效
• 此配置为全局生效，会影响所有依赖Schannel的Windows应用程序

方案2：结合WinHttpHandler与注册表配置 #

在Windows平台，你可以使用WinHttpHandler替代默认的HttpClient Handler，它会遵循系统注册表中的加密套件配置，同时可以指定TLS协议版本来缩小可用套件范围。

修改后的示例代码 #

Add-Type -AssemblyName System.Net.Http

# 初始化WinHttpHandler并指定TLS版本
$winHttpHandler = New-Object System.Net.Http.WinHttpHandler
$winHttpHandler.SslProtocols = [System.Security.Authentication.SslProtocols]::Tls12 -bor [System.Security.Authentication.SslProtocols]::Tls13

# 基于WinHttpHandler创建HttpClient
$httpClient = New-Object System.Net.Http.HttpClient($winHttpHandler)

try {
    $task = $httpClient.GetAsync('https://www.example.com')
    $task.Wait()
    $res = $task.Result

    if ($res.IsFaulted) {
        Write-Host $('Error: Status {0}, reason {1}.' -f [int]$res.StatusCode, $res.Exception.Message)
    }
    return $res.Content.ReadAsStringAsync().Result
}
catch [Exception] {
    Write-Host ('Error: {0}' -f $_)
}
finally {
    $res?.Dispose()
    $winHttpHandler.Dispose()
    $httpClient.Dispose()
}

说明 #

• 先通过注册表配置好允许使用的加密套件，WinHttpHandler会自动遵循这些配置
• 指定TLS版本可以进一步过滤掉不兼容的加密套件，缩小可选范围

总结 #

Windows平台无法直接通过CipherSuitesPolicy指定加密套件，但通过系统注册表配置或WinHttpHandler+注册表组合配置的方式，依然可以实现控制加密套件的需求。如果需要仅针对当前脚本生效的方案，目前.NET在Windows上没有原生API支持，只能依赖系统级配置。

内容的提问来源于stack exchange，提问作者Arbelac