MS16-065: Beschreibung der Sicherheitsanfälligkeit im TLS/SSL-Protokoll für die Offenlegung von Informationen (CVE-2016-0149): 10. Mai 2016

Option 1: Wechseln zum TLS 1.2-Protokoll

Beim Einsatz dieser Option wird die Anwendung durch Ändern der Registrierung oder programmgesteuertes Konfigurieren der Protokollversion gezwungen, das Protokoll TLS 1.2 zu verwenden.

• Ändern der Registrierung
  
  Wichtig
  Führen Sie die in diesem Abschnitt beschriebenen Schritte sorgfältig aus. Durch eine fehlerhafte Bearbeitung der Registrierung können schwerwiegende Probleme verursacht werden. Bevor Sie Änderungen vornehmen, sichern Sie die Registrierung, um sie wiederherstellen zu können, falls Probleme auftreten.
  
  Bei den .NET Framework 4.0- und .NET Framework 4.5.x-Anwendungen, die unter .NET Framework 4.5 und höheren Versionen ausgeführt werden, kann das Standardprotokoll durch die Aktivierung des Registrierungsschlüssels SchUseStrongCrypto auf TLS 1.2, TLS 1.1 und TLS 1.0 festgelegt werden. Dieser Registrierungsschlüssel wird im Abschnitt Empfohlene Maßnahmen der Microsoft-Sicherheitsempfehlung 2960358 auf der Microsoft TechNet-Website besprochen.
  
  Wichtig Diese Registrierungsänderung funktioniert nur, wenn die folgenden Bedingungen erfüllt sind:

  • Anwendungen, die ServicePointManager-basierte APIs verwenden, legen den Wert ServicePointManager.SecurityProtocolnicht explizit fest. Beispiele für solche Klassen sind System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequest und System.Net.Mail.SmtpClient. Die Festlegung von ServicePointManager.SecurityProtocol im Code hat Vorrang gegenüber der Registrierung.

  • Die Anwendungen verwenden die SslStream.AuthenticateAsClient(String)-Überladung.

  
  

• Programmgesteuertes Konfigurieren der Protokollversion
  
  Die .NET Framework 4.0- und 4.5-Anwendungen, die unter .NET Framework 4.5 und höheren Versionen ausgeführt werden und die SslStream.AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean)-Überladung verwenden, müssen SslProtocols.Tls12, SslProtocols.Tls11 und SslProtocols.Tls als dritten Parameter angeben. Eine umfassende Beschreibung der Verwendung der SslStream-Klasse finden Sie im Thema SslStream-Klasse auf der Microsoft Developer (MSDN)-Website.
  
  Hinweis In .NET Framework 4.6 und höheren Versionen werden TLS 1.2, TLS 1.1 und TLS 1.0 als Standardprotokolle verwendet. Dies wird in der Microsoft-Sicherheitsempfehlung 2960358 auf der Microsoft TechNet-Website erläutert.

Option 2: Verarbeiten geteilter Pakete

Dieses Update bewirkt, dass ein Datensatz in mehrere Datensätze aufgeteilt wird. Dies kann zu Anwendungsfehlern führen, wenn eine Anwendung erwartet, dass der gesamte Datensatz in einem Read-Aufruf vorliegt. Um ein ordnungsgemäßes Anwendungsverhalten sicherzustellen, prüfen Sie, ob die Anwendung aufgeteilte Pakete verarbeitet. Dazu muss der Stream.Read-Aufruf richtig ausgeführt werden. Sie können sich an dem hier verfügbaren Beispielcode orientieren, wenn Sie die Anwendung korrigieren müssen, damit der Read-Aufruf ordnungsgemäß ausgeführt wird.

Eine HTTP-Beispielanforderung, welche die Änderung des Verhaltens vor (mit Gegenmaßnahme) und nach (ohne Gegenmaßnahme) der Installation der Updates 3147461 und 3147458 zeigt, finden Sie im Abschnitt „Weitere Informationen“.

Ein komplettes Beispiel der Stream.Read-Methode finden Sie im Thema Stream.Read Method (Byte[], Int32, Int32) auf der Microsoft Developer (MSDN)-Website.

Methode 1: Aktualisieren von Registrierungsschlüsseln (bei allen Versionen von .NET Framework verfügbar)

Deaktivieren der Struktur SCH_SEND_AUX_RECORD (global)

Deaktivieren der Struktur SCH_SEND_AUX_RECORD für einzelne Anwendungen

Methode 2: Ändern der Konfiguration auf der Anwendungsebene (nur bei .NET Framework Version 4.6 und höheren Versionen verfügbar)

Ab .NET Framework 4.6 können Sie die Konfiguration auf Anwendungsebene durch Code oder die Anwendungskonfiguration oder Registrierungsänderungen ändern.

In .NET Framework 4.6 können Sie die Konfigurationsoption mit einer der folgenden Methoden festlegen. In diesen Beispielen wird das Sicherheitsfeature deaktiviert.

• Programmgesteuert
  
  Zunächst sollte die Anwendung den folgenden Code ausführen, weil der Dienststellen-Manager nur einmal initialisiert wird.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; 
  private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);

• Anwendungskonfiguration
  
  Um die Anwendungskonfiguration zu ändern, fügen Sie den folgenden Eintrag hinzu:
  

  <runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>

• Registrierungsschlüssel (Computer global)
  
  

  Registrierungspfade:HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\AppContext
  Wert: Switch.System.Net.DontEnableSchSendAuxRecord
  Typ: String
  Wert: True
  
  Hinweis Für alle Anwendungen gilt: Switch.System.Net.DontEnableSchSendAuxRecord = False.