Transpordikihi turbe (TLS) ühendused võivad ühenduse loomisel või jätkamisel nurjuda või aeguda

Rakenduskoht
Windows 10, version 1903, all editions Windows 10, version 1809, all editions Windows Server 2019, all editions Windows 10, version 1803, all editions Windows 10, version 1709, all editions Windows 10, version 1703, all editions Windows 10, version 1607, all editions Windows Server 2016, all editions Windows 10 Windows 8.1 Windows Server 2012 R2 Windows Server 2012 Windows 7 Service Pack 1 Windows Server 2008 R2 Windows Server 2008 Service Pack 2 Windows Embedded 8 Standard Windows Embedded Standard 7 Service Pack 1 Windows Embedded POSReady 7

Sümptomid

Ühenduse loomise katsel võib transpordikihi turve (TLS) nurjuda või aeguda.  Teile võidakse kuvada ka üks või mitu järgmistest tõrgetest.

  • „Taotlus katkestati: SSL-i/TLS-i turvalist kanalit ei saanud luua”
  • tõrge 0x8009030f
  • SCHANNELi sündmuse 36887 süsteemisündmuse logis logiti tõrge, mille hoiatuse kood on 20 ja kirjeldus on „Kaug-lõpp-punktist saadi pöördumatu hoiatus. TLS-protokollis määratud pöördumatu hoiatuse kood on 20.”

Põhjus

CVE-2019-1318 turvalisusega seotud jõustamise tõttu jõustavad kõik Windowsi toetatud versioonide värskendused, mis on välja antud 8. oktoobril 2019 või hiljem, laiendatud juhtsaladust (EMS) RFC 7627 määratletud taaslubamiseks.  Ühendused muude tootjate seadmete ja OSe-dega, mis ei vasta nõuetele, võivad olla probleemid või nurjuda.

Järgmised toimingud

Ühendused kahe seadme vahel, kus töötab mis tahes Windowsi toetatud versioon, ei tohiks seda probleemi täieliku värskendamise korral tekkida.  Selle probleemi jaoks pole Windowsi värskendust vaja.  Need muudatused on vajalikud turbeprobleemi ja turbenõuetele vastavuse kõrvaldamiseks.

Mis tahes kolmanda osapoole operatsioonisüsteemil, seadmel või teenusel, mis ei toeta EMS-i uuesti käivitamist, võib esineda TLS-ühendustega seotud probleeme.  Peaksite pöörduma oma administraatori, tootja või teenusepakkuja poole, et saada värskendusi, mis toetavad täielikult EMS-i jätkumist vastavalt RFC 7627 määratlusele.

Märge Microsoft ei soovita EMS-i keelata. Kui EMS on keelatud, saab selle uuesti lubada järgmiste registrivõtmete väärtuste seadmisega:

HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel

On TLS Server: DisableServerExtendedMasterSecret: 0
TLS-kliendis: DisableClientExtendedMasterSecret: 0

Täpsem teave administraatoritele

1. Windowsi seade, mis proovib transpordikihi turbe (TLS) ühendust seadmega, mis ei toeta laiendatud juhtsaladust (EMS), kui TLS_DHE_* šifrikomplektide üle peetakse läbirääkimisi, võib aeg-ajalt nurjuda umbes üks katse 256-st. Selle probleemi lahendamiseks rakendage üks järgmistest eelistuslikus järjekorras loetletud lahendustest:

  • Lubage laiendatud juhtsaladuse (EMS) laiendite tugi transpordikihi turbe (TLS) ühenduste loomisel nii kliendi kui ka serveri opereerimissüsteemis.
  • Operatsioonisüsteemide korral, mis ei toeta EMS-i, eemaldage TLS_DHE_* šifrikomplektid TLS-kliendi seadme OS-i šifrikomplektide loendist. Juhised selle kohta, kuidas seda Windowsis teha, leiate teemast Schanneli šifrikomplektide prioriseerimine.

         2. Operatsioonisüsteemid, mis saadavad serditaotluse teateid ainult täieliku käepigistusega pärast uuesti käivitamist, ei vasta RFC 2246 (TLS 1.0) ega RFC 5246 (TLS 1.2) nõuetele ja põhjustavad iga ühenduse nurjumise. RFCd ei taga taaskäivitamist, kuid seda võib kasutada TLS-i kliendi ja serveri äranägemisel.  Selle probleemi ilmnemisel peate RFC standarditele vastavate värskenduste saamiseks pöörduma tootja või teenusepakkuja poole.

3. FTP-serverid või kliendid, mis ei vasta RFC 2246 (TLS 1.0) ja RFC 5246 (TLS 1.2) nõuetele, ei pruugi jätkata või lühendatud kätluse korral faile edastada ja põhjustavad iga ühenduse nurjumise. Selle probleemi ilmnemisel peate RFC standarditele vastavate värskenduste saamiseks pöörduma tootja või teenusepakkuja poole.

Mõjutatud värskendused

See probleem võib esineda mõnedes uusimates koondvärskendustes (LCU) või igakuistes värskenduskomplektides, mis anti mõjutatud platvormide jaoks välja 8. oktoobril 2019 või hiljem.

  • KB4517389 koondvärskendus Windows 10 versiooni 1903 jaoks.
  • KB4519338 koondvärskendus Windows 10 versiooni 1809 ja Windows Server 2019 jaoks.
  • KB4520008 koondvärskendus Windows 10 versiooni 1803 jaoks.
  • KB4520004 koondvärskendus Windows 10 versiooni 1709 jaoks.
  • KB4520010 koondvärskendus Windows 10 versiooni 1703 jaoks.
  • KB4519998 koondvärskendus Windows 10 versiooni 1607 ja Windows Server 2016 jaoks.
  • KB4520011 koondvärskendus Windows 10 versiooni 1507 jaoks.
  • KB4520005 igakuine värskenduskomplekt Windows 8.1 ja Windows Server 2012 R2 jaoks.
  • KB4520007 igakuine värskenduskomplekt Windows Server 2012 R2 jaoks.
  • KB4519976 igakuine värskenduskomplekt Windows 7 SP1 ja Windows Server 2008 R2 SP1 jaoks.
  • KB4520002 igakuine värskenduskomplekt Windows Server 2008 SP2 jaoks

Järgmises ainult turbevärskenduses, mis anti välja 8. oktoobril 2019 mõjutatud platvormide jaoks, võib esineda järgmine probleem:

  • KB4519990 ainult turbevärskendus Windows 8.1 ja Windows Server 2012 R2 jaoks.
  • KB4519985 ainult turbevärskendus Windows Server 2012 ja Windows Embedded 8 Standardi jaoks.
  • KB4520003 ainult turbevärskendus Windows 7 SP1 ja Windows Server 2008 R2 SP1 jaoks
  • KB4520009 ainult turbevärskendus Windows Server 2008 SP2 jaoks