MS16-065: Descripción de la vulnerabilidad de divulgación de información del protocolo TLS/SSL (CVE-2016-0149): 10 de mayo de 2016

Opción 1: Cambiar el protocolo TLS 1.2

Esta opción hace que la aplicación utilice el protocolo TLS 1.2 mediante la modificación del registro o configurar mediante programación la versión del protocolo.

• Modificar el registro
  
  Importante:
  siga cuidadosamente los pasos de esta sección. Pueden producirse problemas graves si modifica incorrectamente el registro. Antes, modificarla, copia de seguridad del registro de restauración en caso de producirse problemas.
  
  Las aplicaciones de .NET Framework 4.0 y .NET Framework 4.5. x que se ejecutan en .NET Framework 4.5 y versiones posteriores pueden cambiar el protocolo predeterminado para TLS 1.2, TLS 1.1 y TLS 1.0 al habilitar la clave del registro SchUseStrongCrypto . Esta clave del registro se describe en la sección Acciones recomendadas del tema 2960358 Asesor de seguridad de Microsoft en el sitio Web de Microsoft TechNet.
  
  Importante: Este cambio del registro sólo funcionará si se cumplen las condiciones siguientes:

  • Aplicaciones que usan las API basadas en ServicePointManager no se establece explícitamente el valor de ServicePointManager.SecurityProtocol . System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequesty System.Net.Mail.SmtpClientson ejemplos de tales clases. Establecer el ServicePointManager.SecurityProtocol en código prevalece sobre el registro.

  • Las aplicaciones utilizan la sobrecarga de SslStream AuthenticateAsClient(String) .

  
  

• Configurar mediante programación la versión del protocolo
  
  El.NET Framework 4.0 y 4.5 aplicaciones que se ejecutan en el.NET Framework 4.5 y versiones posteriores y que usan la sobrecarga SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) deben compilarse, especificando SslProtocols.Tls12, SslProtocols.Tls11y SslProtocols.Tls como tercer parámetro. Para obtener una descripción completa de cómo utilizar la clase SslStream, vea el tema de la Clase SslStream en el sitio Web de Microsoft Developer (MSDN).
  
  Nota: NET Framework 4.6 y versiones posteriores usan TLS 1.2, TLS 1.1 y TLS 1.0 como los valores predeterminados del protocolo. Esto se explica en el tema 2960358 del Asesor de seguridad de Microsoft en el sitio web de Microsoft TechNet.

Opción 2: Administrar paquetes de división

Esta actualización hace que un solo registro se divida en varios registros. Por lo tanto, si una aplicación está esperando el registro completo esté disponible en una única llamada de lectura , estas aplicaciones pueden bloquearse. Para asegurarse de que la aplicación se comporta correctamente, compruebe que la aplicación trata los paquetes de división realizando la llamada Stream.Read correctamente. Puede utilizar el ejemplo código disponible aquí como referencia acerca de cómo corregir la aplicación para realizar correctamente la llamada de lectura.

Para una solicitud HTTP de ejemplo muestra la diferencia en el comportamiento antes (con la mitigación) y después (sin la mitigación) se instalaron las actualizaciones 3147461 y 3147458 , consulte la sección "Más información".

Para obtener un ejemplo completo del método Stream.Read , vea el tema del Método Stream.Read (Byte [], Int32, Int32) en el sitio Web de Microsoft Developer (MSDN).

Método 1: Actualizar las claves de registro (disponibles para todas las versiones de .NET Framework)

Deshabilitar la estructura SCH_SEND_AUX_RECORD (globalmente)

Deshabilitar la estructura SCH_SEND_AUX_RECORD para aplicaciones individuales

Método 2: Cambiar la configuración en el nivel de aplicación (disponible sólo para la versión 4.6 de.NET Framework y versiones posteriores)

A partir de .NET Framework 4.6, puede cambiar la configuración en una aplicación a través de los cambios de configuración o del registro de aplicación o código.

En .NET Framework 4.6, puede establecer el modificador utilizando cualquiera de los métodos siguientes. En estos ejemplos se deshabilita la característica de seguridad.

• Mediante programación
  
  Lo primero que debe hacer la aplicación se ejecute el código siguiente. Esto es porque el Administrador de puntos de servicio se inicializará sólo una vez.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Configuración de la aplicación
  
  Para cambiar la configuración de la aplicación, agregue la entrada siguiente:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Clave de registro (global del equipo)
  
  

  Ubicaciones del registro: HKEY_LOCAL_MACHINE\Software\Microsoft\ de . NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Valor: Switch.System.Net.DontEnableSchSendAuxRecord
  Tipo: Cadena
  Valor: True
  
  Nota: Switch.System.Net.DontEnableSchSendAuxRecord = False para todas las aplicaciones.