KB5017811 – Управление на защитата на транспортния слой (TLS) 1.0 и 1.1 след промяна в поведението по подразбиране на 20 септември 2022 г.

Поведение при достъп до връзки TLS 1.0 и 1.1 в браузъра

След 20 септември 2022 г. ще се появи съобщение, когато браузърът отвори уеб сайт, който използва TLS 1.0 или 1.1. Вижте фигура 1. Съобщението гласи, че сайтът използва остарял или опасен TLS протокол. За да се справите с това, можете да актуализирате протокола TLS към TLS 1.2 или по-нова версия. Ако това не е възможно, можете да разрешите TLS, както е обсъдено в Разрешаване на TLS версия 1.1 и по-долу.

Фигура 1: Прозорец на браузъра при достъп до уеб страница на TLS 1.0 и 1.1

Поведение при достъп до TLS 1.0 и 1.1 връзки в winhttp приложения

След актуализацията приложенията, базирани на winhttp, може да са неуспешни. Съобщението за грешка е "ERROR_WINHTTP_SECURE_FAILURE при изпълнение на операция WinHttpSendRequest."

Поведение при достъп до TLS 1.0 и 1.1 връзки в потребителски потребителски интерфейс приложения въз основа на winhttp или wininet

Когато дадено приложение се опитва да създаде връзка с помощта на TLS 1.1 и по-нова, връзката може да изглежда неуспешна. Когато затворите приложение или то спре да работи, диалоговият прозорец Помощник за съвместимост на програмите (PCA) се показва, както е показано на фигура 2.

Фигура 2: Диалогов прозорец на помощника за съвместимост на програмите след затваряне на приложение

Диалоговият прозорец на PCA гласи "Тази програма може да не се е изпълнявала правилно." Под него има две опции:

• Изпълнение на програмата с помощта на настройките за съвместимост

• Тази програма се изпълни правилно

Разрешете TLS версия 1.1 и по-нова (настройки за wininet и Internet Explorer)

Не препоръчваме разрешаването на TLS 1.1 и по-долу, тъй като те вече не се считат за защитени. Те са уязвими на различни атаки, като например атаката на POODLE. Така че преди да разрешите TLS 1.1, направете едно от следните неща:

• Проверете дали няма налична по-нова версия на приложението.

• Помолете разработчика на приложението да направи промени в конфигурацията в приложението, за да премахне зависимостта от TLS 1.1 и по-долу.

В случай че никое от решенията не работи, има два начина за разрешаване на наследени TLS протоколи в настройките за цялата система:

• Опции за интернет

• Редактор на групови правила

Разрешаване на TLS версия 1.1 и по-нова (winhttp настройки)

Вижте Актуализация, за да разрешите TLS 1.1 и TLS 1.2 като защитени протоколи по подразбиране в WinHTTP в Windows.

Важни пътища в системния регистър (настройки за wininet и Internet Explorer)

• Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

  • Тук можете да намерите SecureProtocols, който съхранява стойността на текущо разрешените протоколи, ако използвате редактора на групови правила.

• Computer\HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings

  • Тук можете да намерите SecureProtocols, който съхранява стойността на текущо разрешените протоколи, ако използвате опции за интернет.

• групови правила SecureProtocols ще има приоритет пред набора от опции за интернет.

Разрешаване на незащитена TLS резервна

Промените по-горе ще разрешат TLS 1.0 и TLS 1.1. Те обаче няма да разрешат отпадането на TLS. За да разрешите резервната TLS, трябва да зададете EnableInsecureTlsFallback на 1 в системния регистър под пътищата по-долу.

• За да промените настройките: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp

• За да зададете правила: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

Ако EnableInsecureTlsFallback не е наличен, трябва да създадете нов DWORD запис и да го настроите на 1.

Важни пътища в системния регистър

1. ForceDefaultSecureProtocols  

   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp 

   • Това е FALSE по подразбиране. Задаването на ненулева стойност ще попречи на приложенията да задават протоколи по избор с помощта на опцията winhttp.

2. EnableInsecureTlsFallback 

   • За да промените настройките: SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\winhttp

   • За да зададете правила: SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings

   • Това е FALSE по подразбиране. Задаването на ненулева стойност ще позволи на приложенията да се върнат към незащитени протоколи (TLS1.0 и 1.1), ако ръкостискването е неуспешно със защитени протоколи (tls1.2 и по-нови).