Alternatívne riešenia pre zlyhania a uplynutie časového limitu TLS v systémoch Windows

Ak máte problémy so zlyhaniami a časovými limitmi TLS vo vašom systéme Windows, existuje niekoľko vecí, ktoré môžete urobiť, aby ste problém vyriešili. Najprv skúste zvýšiť hodnotu časového limitu TLS v registri. Ak to chcete urobiť, otvorte Editor databázy Registry (regedit.exe) a prejdite na nasledujúci kľúč: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Potom vytvorte novú hodnotu DWORD s názvom „EnableTls11“ a nastavte ju na 1. Ak to nefunguje, môžete skúsiť vypnúť TLS 1.0. Ak to chcete urobiť, otvorte Editor databázy Registry a prejdite na nasledujúci kľúč: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Potom vytvorte novú hodnotu DWORD pre každý z nasledujúcich protokolov a nastavte ich na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Nakoniec, ak všetko ostatné zlyhá, môžete skúsiť preinštalovať ovládače sieťového adaptéra. Toto je zvyčajne posledná možnosť, ale niekedy môže vyriešiť problémy s TLS. Ak máte problémy so zlyhaniami a časovými limitmi TLS vo vašom systéme Windows, existuje niekoľko vecí, ktoré môžete urobiť, aby ste problém vyriešili. Najprv skúste zvýšiť hodnotu časového limitu TLS v registri. Ak to chcete urobiť, otvorte Editor databázy Registry (regedit.exe) a prejdite na nasledujúci kľúč: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Potom vytvorte novú hodnotu DWORD s názvom „EnableTls11“ a nastavte ju na 1. Ak to nefunguje, môžete skúsiť vypnúť TLS 1.0. Ak to chcete urobiť, otvorte Editor databázy Registry a prejdite na nasledujúci kľúč: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Potom vytvorte novú hodnotu DWORD pre každý z nasledujúcich protokolov a nastavte ich na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Nakoniec, ak všetko ostatné zlyhá, môžete skúsiť preinštalovať ovládače sieťového adaptéra. Toto je zvyčajne posledná možnosť, ale niekedy môže vyriešiť problémy s TLS.

Hovorili sme o Podanie ruky TLS a ako môže zlyhať. Tiež sme si všimli, že veľa zlyhaní TLS bolo spôsobených snahou Microsoftu veci opraviť. Aktualizácia zabezpečenia CVE-2019-1318 viedla k nedávnemu návratu pre TLS a SSL. To spôsobilo, že pripojenia TLS občas zlyhali alebo to trvalo dlho, čo malo za následok časový limit. V tomto príspevku sa podelíme o riešenia pre zlyhania a časové limity TLS v systémoch Windows.

Nasledujúce chyby sú bežné v dôsledku tohto pretrvávajúceho problému:

• Požiadavka bola prerušená: Nepodarilo sa vytvoriť bezpečný kanál SSL/TLS.
• Chyba 0x8009030f
• V protokole systémových udalostí bola zaznamenaná chyba pre udalosť SCHANNEL 36887 s kódom varovania 20 a popisom: „Zo vzdialeného koncového bodu bolo prijaté kritické varovanie. Závažný varovný kód protokolom TLS - 20.? '

Ktoré verzie systému Windows sú náchylné na zlyhania TLS?

Zraniteľnosť by mohla dať útočníkovi šancu spustiť útok typu man-in-the-middle. Toto bolo opravené aktualizáciou a malo za následok zlyhania TLS a časové limity v systémoch Windows.

Spoločnosť Microsoft poznamenala, že k tomu dôjde iba vtedy, keď sa zariadenia pokúsia vytvoriť pripojenia TLS k zariadeniam, ktoré nepodporujú rozšírenie Extended Master Secret. Ak majú zariadenia podporovanú verziu, tak sa to nestane. Tu sú aktuálne ovplyvnené verzie systému Windows:

1. Windows 10 verzia 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Service Pack 1 pre Windows 7
8. Service Pack 1 pre Windows Server 2008 R2
9. Service Pack 2 pre Windows Server 2008

Zoznam aktualizácií systému Windows ovplyvnený aktualizáciou zabezpečenia

Pri každej najnovšej kumulatívnej aktualizácii (LCU) alebo mesačných súhrnoch vydaných 8. októbra 2019 alebo neskôr pre dotknuté platformy sa môže vyskytnúť tento problém:

1. KB4517389 LCU pre Windows 10 verzie 1903.
2. KB4519338 LCU pre Windows 10 verzie 1809 a Windows Server 2019.
3. KB4520008 LCU pre Windows 10 verzie 1803.
4. KB4520004 LCU pre Windows 10 verzie 1709.
5. KB4520010 LCU pre Windows 10 verzie 1703.
6. KB4519998 LCU pre Windows 10 verzie 1607 a Windows Server 2016.
7. KB4520011 LCU pre Windows 10 verzie 1507.
8. Súhrnná mesačná aktualizácia KB4520005 pre Windows 8.1 a Windows Server 2012 R2.
9. Súhrnná mesačná aktualizácia KB4520007 pre systém Windows Server 2012.
10. KB4519976 Súhrnná mesačná aktualizácia pre Windows 7 SP1 a Windows Server 2008 R2 SP1.
11. Súhrnná mesačná aktualizácia KB4520002 pre systém Windows Server 2008 SP2
12. KB4519990 Aktualizácia iba zabezpečenia pre Windows 8.1 a Windows Server 2012 R2.
13. KB4519985 Aktualizácia zabezpečenia iba pre systém Windows Server 2012 a Windows Embedded 8 Standard.
14. KB4520003 Aktualizácia iba zabezpečenia pre Windows 7 SP1 a Windows Server 2008 R2 SP1
15. KB4520009 Aktualizácia zabezpečenia iba pre systém Windows Server 2008 SP2

Alternatívne riešenia zlyhaní a uplynutia časového limitu TLS v systéme Windows

Podľa Microsoftu tam tri spôsoby opraviť zlyhania a časové limity TLS.

1. Povoliť EMS na klientovi aj na serveri
2. Odstrániť šifrovacie sady TLS_DHE_*
3. Povoliť / zakázať EMS v systéme Windows 10 / Windows Server

Majte na pamäti, že riešenia majú nevýhody, najmä pokiaľ ide o bezpečnosť.

1] Povoliť EMS na klientovi aj na serveri

Ako vieme, ak je EMS nainštalovaný na oboch stranách, potom nie je problém, takže riešenie je zrejmé. Hoci je EMS predvolene povolený pre všetky vydania po 8. októbri 2019, inak to zaistite Povoliť podporu pre rozšírenie Extend Master Secret (EMS).

Ak ste správcom IT, uistite sa, že podporujete obnovu EMS podľa definície RFC 7627 plne.

2] Odstráňte šifrovacie sady TLS_DHE_*

Ak operačný systém nepodporuje EMS, správca IT musí odstrániť šifrovacie sady TLS_DHE_* zo zoznamu šifrovacích sád v operačnom systéme klientskeho zariadenia TLS. Kompletná dokumentácia pre Suity Priority Schannel Cipher Suites k dispozícii.

Ide však o dočasnú opravu a ich zakázanie znamená len to, že pozývate na útok typu man-in-the-middle.

je java aktualizácia bezpečná

3] Povolenie/zakázanie EMS v systéme Windows 10/Windows Server

Ak ste kvôli nejakému problému s TLS zakázali EMS na vašom počítači, použite nastavenia databázy Registry na serveri aj klientovi, aby ste ho povolili.

• OTVORENÉ Editor databázy Registry
• Prejdite na kanál HKLM System CurrentControlSet Control SecurityProviders
  • Na servery TLS: DisableServerExtendedMasterSecret: 0
  • Na klientovi TLS: DisableClientExtendedMasterSecret: 0

Ak nie sú k dispozícii, môžete ich vytvoriť.

Dúfam, že tieto riešenia vám pomohli pri dočasnom vyriešení problému, ktorý máte s TLS. Zostaňte naladení na vydanie aktualizácií na riešenie tohto problému.