Ratkaisuja TLS-virheille ja aikakatkaisuille Windows-järjestelmissä

Jos sinulla on ongelmia TLS-virheiden ja aikakatkaisujen kanssa Windows-järjestelmässäsi, voit kiertää ongelman muutamilla tavoilla. Yritä ensin suurentaa TLS-aikakatkaisun arvoa rekisterissäsi. Voit tehdä tämän avaamalla rekisterieditorin (regedit.exe) ja siirtymällä seuraavaan avaimeen: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Luo sitten uusi DWORD-arvo nimeltä 'EnableTls11' ja aseta se arvoon 1. Jos tämä ei auta, voit yrittää poistaa TLS 1.0:n käytöstä. Voit tehdä tämän avaamalla rekisterieditorin ja siirtymällä seuraavaan avaimeen: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Luo sitten uusi DWORD-arvo jokaiselle seuraavista protokollista ja aseta ne arvoon 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Lopuksi, jos kaikki muu epäonnistuu, voit yrittää asentaa verkkosovittimen ohjaimet uudelleen. Tämä on yleensä viimeinen keino, mutta se voi joskus korjata TLS:n ongelmia. Jos sinulla on ongelmia TLS-virheiden ja aikakatkaisujen kanssa Windows-järjestelmässäsi, voit kiertää ongelman muutamilla tavoilla. Yritä ensin suurentaa TLS-aikakatkaisun arvoa rekisterissäsi. Voit tehdä tämän avaamalla rekisterieditorin (regedit.exe) ja siirtymällä seuraavaan avaimeen: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Luo sitten uusi DWORD-arvo nimeltä 'EnableTls11' ja aseta se arvoon 1. Jos tämä ei auta, voit yrittää poistaa TLS 1.0:n käytöstä. Voit tehdä tämän avaamalla rekisterieditorin ja siirtymällä seuraavaan avaimeen: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Luo sitten uusi DWORD-arvo jokaiselle seuraavista protokollista ja aseta ne arvoon 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Lopuksi, jos kaikki muu epäonnistuu, voit yrittää asentaa verkkosovittimen ohjaimet uudelleen. Tämä on yleensä viimeinen keino, mutta se voi joskus korjata TLS:n ongelmia.

Puhuimme aiheesta Kädenpuristus TLS ja kuinka se voi epäonnistua. Huomasimme myös, että monet TLS-virheet johtuivat Microsoftin yrittämisestä korjata asioita. Tietoturvapäivitys CVE-2019-1318 johti äskettäin TLS:n ja SSL:n palautukseen. Tämä aiheutti TLS-yhteyksien ajoittain epäonnistumisen tai kestäneen kauan, mikä johti aikakatkaisuun. Tässä viestissä jaamme kiertotapoja TLS-virheille ja aikakatkaisuille Windows-järjestelmissä.

Seuraavat virheet ovat yleisiä tämän jatkuvan ongelman vuoksi:

• Pyyntö keskeytettiin: SSL/TLS-suojatun kanavan luominen epäonnistui.
• Virhe 0x8009030f
• Tapahtuman SCHANNEL 36887 järjestelmän tapahtumalokiin kirjattiin virhe varoituskoodilla 20 ja kuvauksella: 'Etäpäätepisteestä vastaanotettiin kriittinen varoitus. TLS-protokollan kohtalokas varoituskoodi - 20.? '

Mitkä Windows-versiot ovat alttiita TLS-virheille?

Haavoittuvuus voi antaa hyökkääjälle mahdollisuuden käynnistää mies keskellä -hyökkäyksen. Tämä korjattiin päivityksellä, ja se johti TLS-virheisiin ja aikakatkaisuihin Windows-järjestelmissä.

Microsoft huomautti, että tämä tapahtuu vain, kun laitteet yrittävät muodostaa TLS-yhteyksiä laitteisiin, jotka eivät tue Extended Master Secret -laajennusta. Jos laitteilla on tuettu versio, tätä ei tapahdu. Tässä ovat Windows-versiot, joihin tämä tällä hetkellä vaikuttaa:

1. Windows 10 versio 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Service Pack 1 Windows 7:lle
8. Service Pack 1 Windows Server 2008 R2:lle
9. Service Pack 2 Windows Server 2008:lle

Windows-päivitysluettelo vaikuttaa tietoturvapäivityksen vuoksi

Tämä ongelma saattaa ilmetä kaikissa uusimmissa kumulatiivisissa päivityksissä (LCU) tai kuukausittaisissa kokoonpanoissa, jotka on julkaistu 8. lokakuuta 2019 tai sen jälkeen.

1. KB4517389 LCU Windows 10 -versiolle 1903.
2. KB4519338 LCU Windows 10 -versiolle 1809 ja Windows Server 2019:lle.
3. KB4520008 LCU Windows 10 -versiolle 1803.
4. KB4520004 LCU Windows 10 -versiolle 1709.
5. KB4520010 LCU Windows 10 -versiolle 1703.
6. KB4519998 LCU Windows 10 -versiolle 1607 ja Windows Server 2016:lle.
7. KB4520011 LCU Windows 10 -versiolle 1507.
8. KB4520005 kuukausittainen päivityskokoelma Windows 8.1:lle ja Windows Server 2012 R2:lle.
9. KB4520007 kuukausittainen päivityskokoelma Windows Server 2012:lle.
10. KB4519976 kuukausittainen päivityskokoelma Windows 7 SP1:lle ja Windows Server 2008 R2 SP1:lle.
11. KB4520002 kuukausittainen päivityskokoelma Windows Server 2008 SP2:lle
12. KB4519990 Vain tietoturvapäivitys Windows 8.1:lle ja Windows Server 2012 R2:lle.
13. KB4519985 Tietoturvapäivitys vain Windows Server 2012:lle ja Windows Embedded 8 Standardille.
14. KB4520003 Vain tietoturvapäivitys Windows 7 SP1:lle ja Windows Server 2008 R2 SP1:lle
15. KB4520009 Vain tietoturvapäivitys Windows Server 2008 SP2:lle

Ratkaisuja TLS-virheille ja aikakatkaisuille Windowsissa

Microsoftin mukaan siellä kolmella tavalla TLS-kaatumisten ja aikakatkaisujen korjaamiseen.

1. Ota EMS käyttöön sekä asiakkaalla että palvelimella
2. Poista TLS_DHE_* salaussarjat
3. Ota EMS käyttöön / poista se käytöstä Windows 10:ssä / Windows Serverissä

Muista, että kiertotavoilla on haittoja, erityisesti turvallisuuden kannalta.

1] Ota EMS käyttöön sekä asiakkaalla että palvelimella

Kuten tiedämme, jos EMS on asennettu molemmille puolille, ongelmaa ei ole, joten ratkaisu on ilmeinen. Vaikka EMS on oletusarvoisesti käytössä kaikissa julkaisuissa 8. lokakuuta 2019 jälkeen, varmista se muussa tapauksessa Ota käyttöön Extend Master Secret (EMS) -laajennuksen tuki.

Jos olet IT-järjestelmänvalvoja, varmista, että tuet EMS-uudistusta määritellyllä tavalla RFC 7627 täysin.

2] Poista TLS_DHE_* salaussarjat

Jos käyttöjärjestelmä ei tue EMS:ää, IT-järjestelmänvalvojan on poistettava TLS_DHE_* salaussarjat TLS-asiakaslaitteen käyttöjärjestelmän salauspakettien luettelosta. Täydelliset asiakirjat Priority Schannel Cipher Suites saatavilla.

Tämä on kuitenkin väliaikainen korjaus, ja niiden poistaminen käytöstä tarkoittaa vain, että kutsut mies-in-the-middle-hyökkäyksen.

on java-päivitys turvallinen

3] Ota EMS käyttöön tai poista se käytöstä Windows 10:ssä/Windows Serverissä

Jos olet jonkin TLS-ongelman vuoksi poistanut EMS:n käytöstä tietokoneeltasi, ota se käyttöön sekä palvelimen että asiakkaan rekisteriasetuksista.

• avata Rekisterieditori
• Siirry kohtaan HKLM System CurrentControlSet Control SecurityProviders Schannel
  • TLS-palvelimille: DisableServerExtendedMasterSecret: 0
  • TLS-asiakasohjelmassa: DisableClientExtendedMasterSecret: 0

Jos niitä ei ole saatavilla, voit luoda ne.

Toivottavasti nämä kiertotavat ovat auttaneet ratkaisemaan väliaikaisesti TLS:n kanssa kohtaamasi ongelman. Pysy kuulolla tämän ongelman korjaamiseksi julkaistavista päivityksistä.