Έλεγχος ταυτότητας πιστοποιητικού πελάτη SSL/TLS δεν λειτουργεί σε Windows 8 ή 2012 διακομιστή των Windows

Συμπτώματα

Εξετάστε το ακόλουθο σενάριο:

• Μπορείτε να χρησιμοποιήσετε τον έλεγχο ταυτότητας πιστοποιητικού προγράμματος-πελάτη Secure Sockets Layer/Transport Layer Security (SSL/TLS) σε έναν υπολογιστή που εκτελεί Windows 8 ή 2012 διακομιστή των Windows.

• Εκτελείται μια λειτουργία που δεν φαινομενικά σχετίζεται με τον έλεγχο ταυτότητας πιστοποιητικού προγράμματος-πελάτη SSL/TLS. Ωστόσο, η λειτουργία έχει ως αποτέλεσμα το χώρο αποθήκευσης αξιόπιστης ρίζας να υπερβεί το όριο των 16 kilobyte (KB). Για παράδειγμα, έχει πραγματοποιηθεί μία από τις ακόλουθες λειτουργίες:

  • Σε μια απομακρυσμένη περίοδο λειτουργίας, ένας χρήστης χωρίς έλεγχο ταυτότητας probes ο διακομιστής τελικού σημείου SSL, χρησιμοποιώντας ένα πιστοποιητικό προγράμματος-πελάτη ότι αλυσίδες σε νέες αξιόπιστες ρίζες. Στη συνέχεια, το κρυπτογράφησης εφαρμογή προγραμματισμού διασύνδεσης (CAPI) εγκαθιστά νέο αξιόπιστες ρίζες αυτόματα.

  • Ένας χρήστης συνδέεται με τον υπολογιστή και πραγματοποιεί αναζήτηση σε μια τοποθεσία Web SSL/TLS που προστατεύεται από καινοτόμες αξιόπιστης ρίζας.

  • CAPI ενημερώνει αυτόματα μια υπάρχουσα ρίζα εγκατεστημένο. Αυτή η συμπεριφορά προκαλεί το μέγεθος της ρίζας για την αύξηση ή τη σειρά απαρίθμησης για να αλλάξετε.

  • Μια αλλαγή που συμβαίνει στον κώδικα σειρά απαρίθμησης πιστοποιητικό (για παράδειγμα, να εγκαταστήσετε μια επείγουσα επιδιόρθωση που αλλάζει τον κώδικα του χώρου αποθήκευσης πιστοποιητικού ή αλλάζει την ταξινόμηση του πίνακα).

  • Ένας χρήστης αλλάζει τη χρήση πιστοποιητικών.

  • Ο διαχειριστής εγκαθιστά νέα πιστοποιητικά στο χώρο αποθήκευσης αξιόπιστης ρίζας.

Σε αυτό το σενάριο, το πιστοποιητικό ελέγχου ταυτότητας πελάτη δεν θα λειτουργεί.

Σημείωση Αυτό το ζήτημα παρουσιάζεται ανεξάρτητα από την τιμή της καταχώρησης μητρώου SendTrustedIssuerList . Με άλλα λόγια, δεν μπορείτε να επιλύσετε αυτό το ζήτημα, ορίζοντας μια τιμή για την καταχώρηση μητρώου SendTrustedIssuerList . Η καταχώρηση μητρώου SendTrustedIssuerList βρίσκεται στο ακόλουθο δευτερεύον κλειδί μητρώου:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL

Αιτία

Αυτό το ζήτημα προκύπτει επειδή τη λίστα αρχών έκδοσης πιστοποιητικών αξιόπιστης ρίζας έχει περικοπεί εσφαλμένα στην πλευρά του διακομιστή. Από προεπιλογή, ο διακομιστής δεν αποστέλλει την λίστα στην πλευρά προγράμματος-πελάτη κατά την επικύρωση του πιστοποιητικού προγράμματος-πελάτη. Επομένως, η περικοπή δεν είναι απαραίτητη.

Προτεινόμενη αντιμετώπιση

Αυτή η επείγουσα επιδιόρθωση είναι επίσης διαθέσιμη σε Κατάλογο του Microsoft Update.

Κατάσταση

Η Microsoft έχει επιβεβαιώσει ότι πρόκειται για ένα ζήτημα των προϊόντων της Microsoft που παρατίθενται στην ενότητα "Ισχύει για".

Περισσότερες πληροφορίες

Το μέγιστο μέγεθος ενός πακέτου TLS που διέρχονται από το δίκτυο είναι 16 KB. Με το ζήτημα που περιγράφεται σε αυτό το άρθρο, ο διακομιστής δημιουργεί μια λίστα με διακεκριμένα ονόματα από τις αρχές έκδοσης πιστοποιητικών αποδεκτή και μετά τη στέλνει στη λίστα στον υπολογιστή-πελάτη. Εάν ο αριθμός των αποδεκτών πιστοποιητικών είναι μεγάλο (για παράδειγμα, περισσότερα από 300 πιστοποιητικά), το μέγεθος του πακέτου TLS μπορεί να υπερβαίνει το όριο των 16 KB. Επομένως, ο διακομιστής περικόπτει τη λίστα στα 16 KB για την αποστολή της λίστας στον υπολογιστή-πελάτη.

Για περισσότερες πληροφορίες σχετικά με την ορολογία των ενημερώσεων λογισμικού, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο στη Γνωσιακή Βάση της Microsoft:

824684 περιγραφή της βασικής ορολογίας που χρησιμοποιείται για την περιγραφή ενημερωμένων εκδόσεων λογισμικού της Microsoft