MS12-006: Una vulnerabilidad en SSL/TLS podría permitir la revelación de información: 10 de enero de 2012

Solución Fix it para TLS 1.1 en Internet Explorer

Para habilitar o deshabilitar esta solución Fix it, haga clic en el botón Fix it o el vínculo bajo el encabezado Habilitar o Deshabilitar. Haga clic en Ejecutar en el cuadro de diálogo Descarga de archivos y, a continuación, siga los pasos del Asistente Fix it.

Solución Fix it para TLS 1.1 en servidores basados en Windows

Para habilitar o deshabilitar esta solución Fix it, haga clic en el botón Fix it o el vínculo bajo el encabezado Habilitar o Deshabilitar. Haga clic en Ejecutar en el cuadro de diálogo Descarga de archivos y, a continuación, siga los pasos del Asistente Fix it.

Problemas conocidos de esta actualización de seguridad

Después de instalar esta actualización de seguridad, es posible que experimente errores de autenticación o pérdidas de conectividad con algunos servidores HTTPS. Este problema se produce porque esta actualización de seguridad cambia la forma en que los registros se envían a los servidores HTTPS.

Para deshabilitar o volver a habilitar temporalmente esta actualización de seguridad, haga clic en el botón Fix it o en el vínculo que se muestra bajo el encabezado Deshabilitar la actualización de seguridad o Volver a habilitar la actualización de seguridad. Haga clic en Ejecutar en el cuadro de diálogo Descarga de archivos y, a continuación, siga los pasos del Asistente Fix it.

Notas

• Estos asistentes podrían estar solo en inglés. Sin embargo, las soluciones automáticas también funcionan con otras versiones de idioma de Windows.

• Si no está utilizando el equipo que tiene el problema, puede guardar la solución automática en una unidad flash o en un CD para ejecutarla posteriormente en el equipo que tenga el problema.

La tabla siguiente muestra los valores que aplican estas soluciones Fix it a la entrada DWORD SendExtraRecord del Registro:

Nota: la configuración SendExtraRecord se incluirá en las futuras versiones de Windows.

Información de Registro

No recomendado No recomendamos que utilice el siguiente procedimiento para deshabilitar la actualización de seguridad. Sin embargo, ofrecemos este procedimiento para aquellas situaciones en las que esté utilizando aplicaciones incompatibles con esta actualización de seguridad, lo que habilitará los registros de división de SSL en todas las aplicaciones.

Importante Esta sección, método o tarea contiene pasos que le indican cómo modificar el Registro. Sin embargo, la modificación incorrecta del Registro puede producir graves problemas. Por tanto, asegúrese de seguir estos pasos cuidadosamente. Para obtener mayor protección, realice una copia de seguridad del Registro antes de modificarlo. De esta manera, puede restaurar el Registro si se produce algún problema. Para obtener más información acerca de cómo realizar una copia de seguridad del Registro y restaurarlo, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

322756Cómo realizar una copia de seguridad del Registro y restaurarlo en Windows

De forma predeterminada, esta actualización de seguridad establece el modo de participación a nivel de SChannel, debido a problemas de compatibilidad de aplicaciones. Para habilitar esta actualización de seguridad para todas las aplicaciones del sistema, debe agregar un valor DWORD llamado SendExtraRecord que tenga un valor de 2 a la siguiente subclave del Registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL Para agregar esta entrada SChannel del Registro, siga estos pasos:

1. Haga clic en Inicio y en Ejecutar, escriba regedit en el cuadro Abrir y haga clic en Aceptar.

2. Busque la siguiente subclave del Registro y haga clic en ella:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. En el menú Edición, seleccione Nuevo y haga clic en Valor DWORD.

4. Escriba SendExtraRecord como nombre del valor DWORD y, a continuación, presione Entrar.

5. Haga clic con el botón secundario en SendExtraRecord y después haga clic en Modificar.

6. En el cuadro Información del valor, escriba 2 para deshabilitar el registro de división en SChannel y, a continuación, haga clic en Aceptar.

7. Cierre el Editor del Registro.

Esta entrada del Registro puede tener tres valores, y cada uno de ellos proporciona diferentes modos de funcionamiento:

Según las pruebas internas que hemos realizado, hemos detectado que en realidad no puede establecer el valor del Registro en 1 porque puede resultar perjudicial en muchos casos en una empresa. Por tanto, no recomendamos su uso.

Problemas conocidos con la habilitación de la entrada del Registro SendExtraRecord

• Al establecer el valor del Registro SendExtraRecord en 1, se fuerza la la división de registros en todas las llamadas para cifrar los datos de SChannel. Esto ocurre independientemente de si el llamador envía el marcador Secure durante el inicio de sesión.

• Muchas de las aplicaciones que utilizan SChannel están escritas, por tanto el receptor asume que los datos de la aplicación se empaquetarán en un solo paquete. Esto ocurre aunque la aplicación llame a SChannel para el descifrado. Las aplicaciones ignoran el marcador que SChannel establece. El marcador indica a la aplicación que hay más datos que el receptor debe descifrar y recoger. Este método no sigue el método recomendado por MSDN acerca del uso de SChannel. Como la actualización de seguridad fuerza la división de registro, esto daña el funcionamiento de dichas aplicaciones.

• Entre las aplicaciones cuyo funcionamiento resulta dañado se encuentran los productos de Microsoft y los componentes de caja. A continuación presentamos ejemplos de situaciones que pueden funcionar mal cuando el valor del Registro SendExtraRecord se establece en 1:

• • Todos los productos SQL y las aplicaciones basadas en SQL.

  • Servidores de Terminal Server que tienen activada la autenticación de nivel de red (NLA). De forma predeterminada, NLA está habilitada en Windows Vista y versiones posteriores de Windows.

  • Algunos casos de de enrutamiento servicios de acceso remoto (RRAS).

Al establecer el valor del Registro SendExtraRecord en 1, se fuerza la división de registros para todas las aplicaciones que utilizan SSL/TLS de Windows. Sin embargo, es probable que esta configuración tenga problemas de compatibilidad con algunas aplicaciones. Por tanto, recomendamos que los clientes configuren TLS 1.1 y TLS 1.2 en lugar de utilizar este valor del Registro. TLS 1.1 y TLS 1.2 no resultan afectados por este problema.

Si un usuario pretende utilizar esta configuración del Registro, le recomendamos que realice pruebas exhaustivas de compatibilidad con las aplicaciones antes de implementarla. Se sabe que entre los productos comunes afectados por esta configuración se encuentran los productos de Microsoft SQL, el servidor de Windows Terminal Server y el Servidor de acceso remoto de Windows.

P:¿Qué puede hacer Microsoft para ayudarme a solucionar el problema de mi aplicación del servidor?
R: Compruebe que la aplicación puede manipular la fragmentación de los registros de aplicación SSL/TLS, tal como se describe en las siguientes RFC:

• TLS 1.0: http://www.ietf.org/rfc/rfc2246.txt paragraph 6.2.1

• SSL 3.0: http://www.ietf.org/rfc/rfc6101.txt paragraph 5.2.1