MS16-065: Описание на TLS/SSL протокол информация разкриване уязвимост (CVE-2016-0149): 10 май 2016

Опция 1: Превключване към TLS 1.2 протокол

Тази опция позволява приложението използва протокола TLS 1.2 или модифициране на системния регистър или програмно конфигуриране на версията на протокола.

• Модифициране на системния регистър
  
  Важно
  Внимателно следвайте стъпките в този раздел. При неправилна промяна на регистъра може да възникнат сериозни проблеми. Преди да промените това резервно копие на системния регистър за възстановяване при възникване на проблеми.
  
  .NET Framework 4.0 и .NET Framework 4.5.x приложения, които се изпълняват на .NET Framework 4.5 и по-нови версии да превключите по подразбиране протокол TLS 1.2 TLS 1.1 и TLS 1.0 позволявайки SchUseStrongCrypto ключ на системния регистър. Този ключ на системния регистър се разглежда в раздела Препоръчва действия на Microsoft Security консултации 2960358 тема в уеб сайта на Microsoft TechNet.
  
  Важно: Промяната в системния регистър ще работят само ако са налице следните условия:

  • Приложения, които използват API за ServicePointManager не настройвате стойността ServicePointManager.SecurityProtocol изрично. Примери за такива класове System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequestи System.Net.Mail.SmtpClient. Задаване на ServicePointManager.SecurityProtocol код предимство системния регистър.

  • Приложения използват претоварване SslStream AuthenticateAsClient(String) .

  
  

• Програмно конфигуриране на версията на протокола
  
  .NET Framework 4.0 и 4.5 приложения, които се изпълняват на .NET Framework 4.5 и по-нови версии и използват SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) претоварване трябва да бъдат компилирани отново, посочва SslProtocols.Tls12, SslProtocols.Tls11и SslProtocols.Tls като третия параметър. За пълно описание как се използва SslStream клас вижте темата SslStream клас на уеб сайта на разработчици на Microsoft (MSDN).
  
  Забележка: .NET Framework 4.6 и по-нови версии използват TLS 1.2 TLS 1.1 и TLS 1.0, протокол по подразбиране. Дискусии в Microsoft Security консултации 2960358 тема в уеб сайта на Microsoft TechNet.

Опция 2: Манипулатор за разделяне на пакети

Тя води до един запис, за да се раздели на няколко записа. Затова ако приложението очаква пълен запис да бъде на разположение в един разговор четене , тези приложения може да прекъсне. За да се уверите, че приложението функционира правилно, проверете дали приложението обработва разделяне пакети като извършите повикване Stream.Read правилно. Можете да използвате примерен код тук за справка за как да отстраните приложение за правилно извършване на повикването четене .

Примерен HTTP заявка, която показва разликата в поведението преди (намаляване) и след (без намаляване) са инсталирани актуализации 3147461 и 3147458 , вижте раздела "Допълнителна информация".

За пълен пример на Stream.Read метод вижте темата Stream.Read метод (байт, Int32, Int32) на уеб сайта на разработчици на Microsoft (MSDN).

Метод 1: Актуализация ключове на системния регистър (достъпна за всички версии на .NET Framework)

Забраняване на SCH_SEND_AUX_RECORD структура (глобално)

Забрани SCH_SEND_AUX_RECORD структура за отделни приложения

Метод 2: Промяна на конфигурацията на ниво приложение (достъпна само за .NET Framework версия 4.6 и по-нови версии)

Започвайки от 4.6 .NET Framework, можете да промените конфигурацията на ниво приложение чрез код или приложение промени в конфигурацията или системния регистър.

В .NET Framework 4.6 можете да зададете ключа посредством някой от следните методи. Тези примери забранява функцията за защита.

• Програмно
  
  Първото нещо, което трябва да направи приложението се изпълнява следния код. Това е така, защото услугата точка мениджър ще инициализира само веднъж.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Конфигуриране на приложението
  
  За да промените конфигурацията на приложението, добавете следния запис:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Ключ на системния регистър (глобални компютър)
  
  

  Местоположения в системния регистър: HKEY_LOCAL_MACHINE\Software\Microsoft\. NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Стойност: Switch.System.Net.DontEnableSchSendAuxRecord
  Тип: Низ
  Стойност: Налице
  
  Забележка: Switch.System.Net.DontEnableSchSendAuxRecord = False за всички приложения.