MS12-006 : Une vulnérabilité de SSL/TLS peut permettre la divulgation d'informations : 10 janvier 2012

Procédure pour obtenir de l'aide et un support pour cette mise à jour de sécurité

Aide à l'installation des mises à jour : Support pour Microsoft Update

Solutions de sécurité pour les professionnels de l'informatique : Résolution des problèmes de sécurité TechNet et support

Aide pour la protection d'un ordinateur exécutant Windows contre les virus et les logiciels malveillants : Centre de sécurité et de solutions antivirus

Support local selon votre pays : Support international

Solution de réparation pour TLS 1.1 sur Internet Explorer

Pour activer ou désactiver cette solution, cliquez sur le bouton Fix it ou sur le lien sous l'en-tête Activer ou Désactiver. Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier, puis suivez la procédure indiquée par l'Assistant Résolution.

Solution de réparation pour TLS 1.1 sur des serveurs Windows

Pour activer ou désactiver cette solution, cliquez sur le bouton Fix it ou sur le lien sous l'en-tête Activer ou Désactiver. Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier, puis suivez la procédure indiquée par l'Assistant Résolution.

Problèmes connus concernant cette mise à jour de sécurité

Après avoir installé cette mise à jour de sécurité, vous pourriez être confronté à un échec d'authentification ou à une perte de connectivité à certains serveurs HTTPS. Ce problème se produit, car cette mise à jour de sécurité modifie la façon dont les enregistrements sont envoyés aux serveurs HTTPS.

Pour désactiver temporairement ou réactiver cette mise à jour de sécurité, cliquez sur le bouton Fix it ou sur le lien situé sous l'en-tête Désactiver la mise à jour de sécurité ou Réactiver la mise à jour de sécurité. Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier, puis suivez la procédure indiquée par l'Assistant de résolution.

Remarques

• Ces Assistants peuvent n'exister qu'en anglais. Toutefois, les résolutions automatiques fonctionnent aussi pour d'autres versions linguistiques de Windows.

• Si vous n'êtes pas sur l'ordinateur concerné par le problème, vous pouvez enregistrer la résolution automatique sur un lecteur flash ou sur un CD-ROM et ensuite l'exécuter sur l'ordinateur concerné par le problème.

Le tableau suivant indique les valeurs appliquées par ces solutions de réparation à l'entrée DWORD du Registre SendExtraRecord :

Remarque Le paramètre SendExtraRecord sera inclus dans les versions ultérieures de Windows.

Informations sur le Registre

Non recommandé Nous ne recommandons pas la procédure suivante pour désactiver la mise à jour de sécurité. Toutefois, nous vous l'indiquons pour les cas où vous utilisez des applications incompatibles avec cette mise à jour de sécurité ; elle permet le fractionnement d'enregistrements SSL pour toutes les applications.

Important Cette section, méthode ou tâche contient des étapes vous indiquant comment modifier le Registre. Toutefois, des problèmes graves peuvent se produire si vous modifiez le Registre de façon incorrecte. Par conséquent, veillez à suivre ces étapes scrupuleusement. Pour plus de protection, effectuez une sauvegarde du Registre avant de le modifier. Vous serez alors en mesure de le restaurer en cas de problème. Pour plus d'informations sur la procédure de sauvegarde et de restauration du Registre, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

322756Procédure de sauvegarde et de restauration du Registre dans Windows

Par défaut, cette mise à jour de sécurité définit le mode Opt-in au niveau schannel, en raison de problèmes de compatibilité des applications. Pour désactiver cette mise à jour de sécurité pour toutes les applications sur l'ensemble du système, vous devez ajouter une valeur DWORD qui est appelée SendExtraRecord et qui a une valeur de 2 sur la sous-clé de Registre suivante :

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL Pour ajouter cette entrée de Registre schannel, procédez comme suit :

1. Cliquez sur Démarrer, puis sur Exécuter, tapez regedit dans la zone Ouvrir, puis cliquez sur OK.

2. Recherchez la sous-clé de Registre suivante et cliquez dessus :

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.

4. Entrez SendExtraRecord comme nom pour la valeur DWORD, puis appuyez sur ENTRÉE.

5. Cliquez avec le bouton droit sur SendExtraRecord, puis cliquez sur Modifier.

6. Dans le champ Données de la valeur, entrez 2 pour désactiver l'enregistrement fractionné dans schannel, puis cliquez sur OK.

7. Quittez l'Éditeur du Registre.

Cette entrée de Registre peut avoir trois valeurs qui offrent chacune différents modes de fonctionnement :

D'après des tests conduits en interne, il ressort que vous ne pouvez pas facilement définir la valeur de Registre sur 1, car cette opération interrompt un nombre trop important de scénarios au sein d'une entreprise. Par conséquent, nous déconseillons aux utilisateurs de l'utiliser.

Problèmes connus liés à l'activation de l'entrée de Registre SendExtraRecord

• Définir la valeur de Registre SendExtraRecord sur 1 applique le fractionnement d'enregistrement pour chaque appel afin de crypter les données dans schannel. Cela se produit indépendamment du fait que l'appelant ait ou non envoyé l'indicateur de sécurité lors de l'initialisation de la session.

• De nombreuses applications utilisant schannel sont écrites de façon à ce que le récepteur suppose que les données de l'application sont rassemblées en un seul paquet. Cela se produit même si l'application appelle schannel pour le déchiffrement. Les applications ignorent un indicateur défini par schannel. L'indicateur signale à l'application qu'il y a d'autres données à déchiffrer et à récupérer par le récepteur. Cette procédure ne respecte pas la méthode prescrite par MSDN pour l'utilisation de schannel. Le fait que la mise à jour de sécurité applique le fractionnement d'enregistrement interrompt ces applications.

• Les applications interrompues comprennent les produits Microsoft et les composants fournis. Voici des exemples de scénarios susceptibles d'être interrompus si la valeur de Registre SendExtraRecord est définie sur 1 :

• • Tous les produits SQL et les applications qui reposent sur SQL.

  • Les serveurs Terminal Server dont l'authentification au niveau du réseau (NLA) est activée. Par défaut, NLA est activée dans Windows Vista et les versions ultérieures de Windows.

  • Certains scénarios du service Routage et accès distant (RRAS).

Définir la valeur de Registre SendExtraRecord sur 1 applique le fractionnement d'enregistrement sécurisé pour toutes les applications qui utilisent Windows TLS/SSL. Toutefois, ce paramètre est susceptible d'entraîner des problèmes de compatibilité des applications. Par conséquent, nous recommandons aux clients de configurer TLS 1.1 et TLS 1.2 au lieu d'utiliser ce paramètre de Registre. TLS 1.1 et TLS 1.2 ne sont pas vulnérables à ce problème.

Si un utilisateur projette de recourir à ce paramètre de Registre, nous lui conseillons de procéder à des tests rigoureux de compatibilité des applications avant de l'appliquer. Les produits Microsoft SQL, le serveur Windows Terminal Server et le serveur d'accès distant Windows comptent parmi les produits courants affectés par ce paramètre.