MS12-006: Μια ευπάθεια στο SSL/TLS θα μπορούσε να επιτρέψει την αποκάλυψη πληροφοριών: 10 Ιανουαρίου 2012

Τρόπος λήψης βοήθειας και υποστήριξης για αυτήν την ενημέρωση ασφάλειας

Για τους οικιακούς χρήστες, παρέχεται υποστήριξη χωρίς χρέωση, καλώντας τον αριθμό 1-866-PCSAFETY στις Ηνωμένες Πολιτείες και τον Καναδά

(επισκεφθείτε αυτήν τη σελίδα για να βρείτε τον τοπικό αριθμό τηλεφώνου) ή επικοινωνώντας με τη θυγατρική της Microsoft στην περιοχή σας. Για περισσότερες πληροφορίες σχετικά με τον τρόπο επικοινωνίας με τη θυγατρική της Microsoft στην περιοχή σας για ζητήματα υποστήριξης ενημερώσεων ασφάλειας, επισκεφθείτε την τοποθεσία διεθνούς υποστήριξης της Microsoft στο Web:

http://support.microsoft.com/common/international.aspx?ln=el&rdpath=4 Οι πελάτες που ζουν στη Βόρεια Αμερική μπορούν να έχουν άμεση πρόσβαση χωρίς χρέωση σε απεριόριστη υποστήριξη μέσω ηλεκτρονικού ταχυδρομείου ή μέσω προσωπικής συνομιλίας, με μια απλή επίσκεψη στην ακόλουθη τοποθεσία της Microsoft στο Web:

https://support.microsoft.com/oas/default.aspx?ln=el&prid=7552&st=1&wfxredirect=1 Για τους εταιρικούς πελάτες, η υποστήριξη για ενημερώσεις ασφάλειας είναι διαθέσιμη μέσω των συνηθισμένων επαφών υποστήριξης.

Αυτόματη επίλυση για το TLS 1.1 σε Internet Explorer

Για να ενεργοποιήσετε ή να απενεργοποιήσετε αυτήν την αυτόματη επίλυση, κάντε κλικ στο κουμπί ή στη σύνδεση Αυτόματη επίλυση (Fix it) στην κεφαλίδα Ενεργοποίηση (Enable) ή στην κεφαλίδα Απενεργοποίηση (Disable). Κάντε κλικ στην επιλογή Εκτέλεση (Run) στο παράθυρο διαλόγου Λήψη αρχείου (File Download) και ακολουθήστε τα βήματα στον οδηγό αυτόματης επίλυσης.

Αυτόματη επίλυση για το TLS 1.1 σε διακομιστές που βασίζονται σε Windows

Για να ενεργοποιήσετε ή να απενεργοποιήσετε αυτήν την αυτόματη επίλυση, κάντε κλικ στο κουμπί ή στη σύνδεση Αυτόματη επίλυση (Fix it) στην κεφαλίδα Ενεργοποίηση (Enable) ή στην κεφαλίδα Απενεργοποίηση (Disable). Κάντε κλικ στην επιλογή Εκτέλεση (Run) στο παράθυρο διαλόγου Λήψη αρχείου (File Download) και ακολουθήστε τα βήματα στον οδηγό αυτόματης επίλυσης.

Γνωστά ζητήματα με αυτήν την ενημέρωση ασφάλειας

Μετά την εγκατάσταση αυτής της ενημέρωσης ασφάλειας, ενδέχεται να αντιμετωπίσετε αποτυχία ελέγχου ταυτότητας ή απώλεια της σύνδεσης με ορισμένους διακομιστές HTTPS. Αυτό το ζήτημα παρουσιάζεται επειδή η ενημέρωση ασφάλειας αλλάζει τον τρόπο με τον οποίο οι εγγραφές αποστέλλονται σε διακομιστές HTTPS. 

Για να απενεργοποιήσετε προσωρινά ή να ενεργοποιήσετε ξανά αυτήν την ενημέρωση ασφάλειας, κάντε κλικ στο κουμπί Αυτόματη επίλυση (Fix it) ή στη σύνδεση κάτω από την επικεφαλίδα Απενεργοποίηση της ενημέρωσης ασφάλειας (Disable the security update) ή κάτω από την επικεφαλίδα Νέα ενεργοποίηση της ενημέρωσης ασφάλειας (Re-enable the security update)heading. Κάντε κλικ στην επιλογή Εκτέλεση (Run) στο παράθυρο διαλόγου Λήψη αρχείου (File Download) και, στη συνέχεια, ακολουθήστε τα βήματα που περιγράφονται στον οδηγό Fix it.

Σημειώσεις

• Οι οδηγοί αυτοί ενδέχεται να είναι διαθέσιμοι μόνο στα Αγγλικά. Ωστόσο, οι αυτόματες επιδιορθώσεις λειτουργούν και για άλλες εκδόσεις γλώσσας των Windows.

• Αν δεν βρίσκεστε στον υπολογιστή που παρουσιάζει το πρόβλημα, μπορείτε να αποθηκεύσετε τις αυτόματες επιδιορθώσεις σε μια μονάδα δίσκου flash ή σε ένα CD και να τις εκτελέσετε αργότερα στον υπολογιστή που θέλετε.

Στον ακόλουθο πίνακα εμφανίζονται οι τιμές που εφαρμόζονται από αυτές τις αυτόματες επιλύσεις στην καταχώρηση DWORD του μητρώου SendExtraRecord: 

Πληροφορίες μητρώου

Δεν συνιστάται Δεν συνιστούμε να χρησιμοποιήσετε την ακόλουθη διαδικασία για να απενεργοποιήσετε αυτήν την ενημέρωση ασφάλειας. Ωστόσο, παρέχουμε αυτή τη διαδικασία για σενάρια στα οποία μπορεί να χρησιμοποιείτε εφαρμογές που δεν είναι συμβατές με αυτήν την ενημέρωση ασφάλειας, η οποία ενεργοποιεί διαχωρισμένες εγγραφές SSL για όλες τις εφαρμογές.

Σημαντικό Αυτή η ενότητα, μέθοδος ή εργασία περιέχει βήματα που σας καθοδηγούν να τροποποιήσετε το μητρώο. Ωστόσο, ενδέχεται να προκύψουν σοβαρά προβλήματα εάν δεν τροποποιήσετε σωστά το μητρώο. Κατά συνέπεια, βεβαιωθείτε ότι ακολουθείτε προσεκτικά τα εξής βήματα. Για επιπλέον προστασία, δημιουργήστε αντίγραφα ασφάλειας του μητρώου πριν να το τροποποιήσετε. Στη συνέχεια, μπορείτε να επαναφέρετε το μητρώο, εάν προκύψει πρόβλημα. Για περισσότερες πληροφορίες σχετικά με τον τρόπο δημιουργίας αντιγράφων ασφάλειας και επαναφοράς του μητρώου, κάντε κλικ στον παρακάτω αριθμό άρθρου για να προβάλετε το άρθρο της Γνωσιακής βάσης της Microsoft:

322756Τρόπος δημιουργίας αντιγράφων ασφάλειας και επαναφοράς του μητρώου στα Windows

Από προεπιλογή, αυτή η ενημέρωση ασφάλειας ορίζει τη λειτουργία συμμετοχής στο επίπεδο schannel, λόγω ζητημάτων συμβατότητας εφαρμογών. Για να απενεργοποιήσετε αυτήν την ενημέρωση ασφάλειας για όλες τις εφαρμογές στο σύστημα, πρέπει να προσθέσετε μια τιμή DWORD με όνομα SendExtraRecord που έχει τιμή 2 στο ακόλουθο δευτερεύον κλειδί μητρώου:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL Για να προσθέσετε αυτήν την καταχώρηση μητρώου schannel, ακολουθήστε τα εξής βήματα:

1. Κάντε κλικ στο κουμπί Έναρξη (Start), κάντε κλικ στην επιλογή Εκτέλεση (Run), πληκτρολογήστε regedit στο πλαίσιο Άνοιγμα (Open) και, στη συνέχεια, κάντε κλικ στο κουμπί ΟΚ.

2. Εντοπίστε και κάντε κλικ στο ακόλουθο δευτερεύον κλειδί μητρώου:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. Στο μενού Επεξεργασία (Edit), τοποθετήστε το δείκτη του ποντικιού στην εντολή Δημιουργία (New) και κατόπιν κάντε κλικ στην εντολή Τιμή DWORD (DWORD Value).

4. Πληκτρολογήστε SendExtraRecord για το όνομα του DWORD και κατόπιν πιέστε το πλήκτρο ENTER.

5. Κάντε δεξιό κλικ στο στοιχείο SendExtraRecord και, στη συνέχεια, κάντε κλικ στην επιλογή Τροποποίηση (Modify).

6. Στο πλαίσιο Δεδομένα τιμής (Value data),πληκτρολογήστε 2 για να απενεργοποιήσετε τη διαχωρισμένη εγγραφή στο schannel και, στη συνέχεια, κάντε κλικ στο OK.

7. Κλείστε τον Επεξεργαστή Μητρώου.

Αυτή η καταχώρηση μητρώου μπορεί να έχει τρεις τιμές, οι οποίες παρέχουν διαφορετικές καταστάσεις λειτουργίας:

Βάσει του εσωτερικού ελέγχου, διαπιστώσαμε ότι δεν είναι δυνατό να ρυθμίσετε την τιμή μητρώου σε 1, επειδή μπορεί να καταστρέψει πολλά σενάρια σε μια επιχείρηση. Επομένως, δεν συνιστούμε στους χρήστες τη συγκεκριμένη χρήση.

Γνωστά ζητήματα σχετικά με την ενεργοποίηση της καταχώρησης μητρώου SendExtraRecord

• Η ρύθμιση της τιμής μητρώου SendExtraRecord σε 1 επιβάλλει τη διαχώριση εγγραφών σε κάθε κλήση για την κρυπτογράφηση δεδομένων στο schannel. Αυτό συμβαίνει ανεξάρτητα από το αν ο καλών αποστέλλει τη σημαία Secure σημαία κατά την προετοιμασία της περιόδου λειτουργίας.

• Πολλές εφαρμογές που χρησιμοποιούν schannel εγγράφονται έτσι ώστε η πλευρά του δέκτη να υποθέτει ότι τα δεδομένα εφαρμογής θα συσκευαστούν σε ένα ενιαίο πακέτο. Αυτό συμβαίνει ακόμα και αν η εφαρμογή καλεί το schannel για την αποκρυπτογράφηση. Οι εφαρμογές παραβλέπουν μια σημαία που ρυθμίζεται από το schannel. Η σημαία υποδεικνύει στην εφαρμογή ότι υπάρχουν περισσότερα δεδομένα για να αποκρυπτογραφηθούν και να επιλεγούν από τον παραλήπτη. Αυτή η μέθοδος δεν ακολουθεί τη μέθοδο που καθορίζεται από το MSDN για τη χρήση του schannel. Επειδή η ενημέρωση ασφάλειας επιβάλλει διαχωρισμό εγγραφών, με αυτόν τον τρόπο καταστρέφονται ανάλογες εφαρμογές.

• Οι κατεστραμμένες εφαρμογές περιλαμβάνουν προϊόντα της Microsoft και στοιχεία που περιλαμβάνονται στη συσκευασία. Τα παρακάτω αποτελούν παραδείγματα σεναρίων που μπορεί να καταστραφούν όταν η τιμή μητρώου SendExtraRecord ρυθμιστεί σε 1:

• • Όλα τα προϊόντα SQL και εφαρμογές που είναι ενσωματωμένες σε SQL.

  • Διακομιστές τερματικού με ενεργοποιημένο έλεγχο ταυτότητας σε επίπεδο δικτύου (NLA). Από προεπιλογή, ο NLA είναι ενεργοποιημένος στα Windows Vista και νεότερες εκδόσεις των Windows.

  • Ορισμένα σενάρια υπηρεσίας δρομολόγησης απομακρυσμένης πρόσβασης (Routing Remote Access Service - RRAS).

Η ρύθμιση της τιμής μητρώου SendExtraRecord σε 1 επιβάλλει τον ασφαλή διαχωρισμό εγγραφών για όλες τις εφαρμογές που χρησιμοποιούν Windows TLS/SSL. Ωστόσο, αυτή η ρύθμιση είναι πιθανό να παρουσιάζει ζητήματα συμβατότητας εφαρμογών. Επομένως, συνιστάται στους πελάτες να ρυθμίζουν τις παραμέτρους TLS 1.1 και TLS 1.2 αντί να χρησιμοποιούν αυτήν τη ρύθμιση μητρώου. Τα TLS 1.1 και TLS 1.2 δεν είναι ευπαθή σε αυτό το ζήτημα.

Αν κάποιος χρήστης σκοπεύει να χρησιμοποιήσει αυτήν τη ρύθμιση μητρώου, συνιστάται να δοκιμάσει εκτεταμένα τη συμβατότητα της εφαρμογής προτού την εφαρμόσει. Ορισμένα συνήθη προϊόντα που είναι γνωστό ότι επηρεάζονται από αυτήν τη ρύθμιση είναι τα προϊόντα Microsoft SQL, ο Windows Terminal Server και ο Windows Remote Access Server.