Rešitve za napake TLS in časovne omejitve v sistemih Windows

Če imate težave z napakami TLS in časovnimi omejitvami v sistemu Windows, je nekaj stvari, ki jih lahko storite, da težavo odpravite. Najprej poskusite povečati vrednost časovne omejitve TLS v vašem registru. Če želite to narediti, odprite urejevalnik registra (regedit.exe) in pojdite na naslednji ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Nato ustvarite novo vrednost DWORD z imenom 'EnableTls11' in jo nastavite na 1. Če to ne deluje, lahko poskusite onemogočiti TLS 1.0. Če želite to narediti, odprite urejevalnik registra in pojdite na naslednji ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Nato ustvarite novo vrednost DWORD za vsakega od naslednjih protokolov in jih nastavite na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Na koncu, če vse drugo odpove, lahko poskusite znova namestiti gonilnike omrežne kartice. To je običajno zadnja možnost, vendar lahko včasih odpravi težave s TLS. Če imate težave z napakami TLS in časovnimi omejitvami v sistemu Windows, je nekaj stvari, ki jih lahko storite, da težavo odpravite. Najprej poskusite povečati vrednost časovne omejitve TLS v vašem registru. Če želite to narediti, odprite urejevalnik registra (regedit.exe) in pojdite na naslednji ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Nato ustvarite novo vrednost DWORD z imenom 'EnableTls11' in jo nastavite na 1. Če to ne deluje, lahko poskusite onemogočiti TLS 1.0. Če želite to narediti, odprite urejevalnik registra in pojdite na naslednji ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Nato ustvarite novo vrednost DWORD za vsakega od naslednjih protokolov in jih nastavite na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Na koncu, če vse drugo odpove, lahko poskusite znova namestiti gonilnike omrežne kartice. To je običajno zadnja možnost, vendar lahko včasih odpravi težave s TLS.

Pogovarjali smo se o Rokovanje TLS in kako lahko spodleti. Opazili smo tudi, da je bilo veliko napak TLS posledica tega, da je Microsoft poskušal popraviti stvari. Varnostna posodobitev CVE-2019-1318 je povzročila nedavno povrnitev za TLS in SSL. To je povzročilo, da so povezave TLS občasno odpovedale ali trajale dolgo, kar je povzročilo časovno omejitev. V tej objavi bomo delili rešitve za napake TLS in časovne omejitve v sistemih Windows.

Naslednje napake so pogoste zaradi te stalne težave:

• Zahteva je bila prekinjena: Varnega kanala SSL/TLS ni bilo mogoče ustvariti.
• Napaka 0x8009030f
• V sistemskem dnevniku dogodkov je bila zabeležena napaka za dogodek SCHANNEL 36887 z opozorilno kodo 20 in opisom: »Od oddaljene končne točke je bilo prejeto kritično opozorilo. Usodna opozorilna koda po protokolu TLS - 20.? '

Katere različice sistema Windows so nagnjene k napakam TLS?

Ranljivost bi lahko dala napadalcu priložnost, da sproži napad človeka v sredini. To je bilo popravljeno s posodobitvijo, kar je povzročilo napake TLS in časovne omejitve v sistemih Windows.

Microsoft je opozoril, da se to zgodi samo, ko naprave poskušajo vzpostaviti povezave TLS z napravami, ki ne podpirajo razširitve Extended Master Secret. Če imajo naprave podprto različico, se to ne zgodi. Tukaj so trenutno prizadete različice sistema Windows:

1. Windows 10 različica 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Servisni paket 1 za Windows 7
8. Servisni paket 1 za Windows Server 2008 R2
9. Servisni paket 2 za Windows Server 2008

Seznam posodobitev sistema Windows je prizadet zaradi varnostne posodobitve

Vse najnovejše kumulativne posodobitve (LCU) ali mesečne zbirke, izdane 8. oktobra 2019 ali pozneje za prizadete platforme, lahko naletijo na to težavo:

1. KB4517389 LCU za Windows 10 različica 1903.
2. KB4519338 LCU za Windows 10 različica 1809 in Windows Server 2019.
3. KB4520008 LCU za Windows 10 različica 1803.
4. KB4520004 LCU za Windows 10 različica 1709.
5. KB4520010 LCU za Windows 10 različica 1703.
6. KB4519998 LCU za Windows 10 različica 1607 in Windows Server 2016.
7. KB4520011 LCU za Windows 10 različica 1507.
8. KB4520005 Mesečni paket posodobitev za Windows 8.1 in Windows Server 2012 R2.
9. KB4520007 Mesečni paket posodobitev za Windows Server 2012.
10. KB4519976 Mesečni paket posodobitev za Windows 7 SP1 in Windows Server 2008 R2 SP1.
11. KB4520002 Mesečni paket posodobitev za Windows Server 2008 SP2
12. KB4519990 Samo varnostna posodobitev za Windows 8.1 in Windows Server 2012 R2.
13. KB4519985 Varnostna posodobitev samo za Windows Server 2012 in Windows Embedded 8 Standard.
14. KB4520003 Samo varnostna posodobitev za Windows 7 SP1 in Windows Server 2008 R2 SP1
15. KB4520009 Samo varnostna posodobitev za Windows Server 2008 SP2

Rešitve za napake TLS in časovne omejitve v sistemu Windows

Po mnenju Microsofta tam tri načine za odpravo zrušitev in časovnih omejitev TLS.

1. Omogočite EMS na odjemalcu in strežniku
2. Izbriši šifrirne pakete TLS_DHE_*
3. Omogoči/onemogoči EMS v sistemu Windows 10/Windows Server

Upoštevajte, da imajo rešitve slabosti, zlasti glede varnosti.

1] Omogočite EMS na odjemalcu in strežniku

Kot vemo, če je EMS nameščen na obeh straneh, potem ni problema, tako da je rešitev očitna. Čeprav je EMS privzeto omogočen za vse izdaje po 8. oktobru 2019, sicer zagotovite, da Omogoči podporo za razširitev Extend Master Secret (EMS).

Če ste skrbnik IT, poskrbite, da podpirate podaljšanje EMS, kot je opredeljeno RFC 7627 v celoti.

2] Odstranite šifrirne pakete TLS_DHE_*

Če operacijski sistem ne podpira EMS, mora skrbnik IT odstraniti šifrirne pakete TLS_DHE_* s seznama šifrirnih paketov v OS odjemalske naprave TLS. Popolna dokumentacija za Priority Schannel Cipher Suites na voljo.

Vendar je to začasen popravek in njihovo onemogočanje pomeni samo, da vabite napad človeka v sredini.

je java posodobitev varna

3] Omogoči/onemogoči EMS v sistemu Windows 10/Windows Server

Če ste zaradi težave s TLS onemogočili EMS v svojem računalniku, uporabite nastavitve registra v strežniku in odjemalcu, da ga omogočite.

• odprto Urejevalnik registra
• Pojdite na HKLM System CurrentControlSet Control SecurityProviders Schannel
  • Na strežnike TLS: DisableServerExtendedMasterSecret: 0
  • Na odjemalcu TLS: DisableClientExtendedMasterSecret: 0

Če niso na voljo, jih lahko ustvarite.

Upam, da so vam bile te rešitve v pomoč pri začasni rešitvi težave, ki jo imate s TLS. Spremljajte posodobitve, ki bodo izdane za odpravo te težave.