Deskripsi tentang pemutakhiran keamanan hanya untuk .NET Framework 4.6 dan 4.6.1 untuk Windows Server 2012: 9 Mei 2017

Ringkasan

Pembaruan keamanan untuk Microsoft .NET Framework mengatasi kerentanan bypass fitur keamanan di mana .NET Framework (dan .NET inti) komponen tidak sepenuhnya validasi sertifikat. Untuk mempelajari selengkapnya tentang kerentanan ini, lihat Microsoft kerentanan Umum dan eksposur CVE-2017-0248.

Pembaruan ini juga berisi perbaikan meningkatkan keamanan untuk komponen Windows presentasi Framework PackageDigitalSignatureManager kemampuan untuk mendaftar paket dengan algoritma hash SHA256.

Penting

• Jika Anda menginstal paket bahasa setelah Anda menginstal pembaruan ini, Anda harus menginstal pembaruan ini. Oleh karena itu, kami menyarankan Anda menginstal bahasa setiap paket yang Anda butuhkan sebelum Anda menginstal pembaruan ini. Untuk informasi selengkapnya, lihat Tambah paket bahasa untuk Windows.

Informasi tambahan tentang pembaruan keamanan

• Penggunaan kunci ditingkatkan (IDEKU) yang dijelaskan dalam RFC 5280 di bagian 4.2.1.12: ekstensi ini menunjukkan salah satu atau lebih tujuan untuk yang disertifikasi umum kunci dapat digunakan, selain atau tempat tujuan dasar yang ditunjukkan di kunci penggunaan ekstensi. Misalnya, sertifikat yang digunakan untuk otentikasi klien ke server harus dikonfigurasi untuk otentikasi klien. Demikian pula, sertifikat yang digunakan untuk otentikasi server harus dikonfigurasi untuk otentikasi Server.
  
  Jika sertifikat yang digunakan untuk otentikasi, authenticator memeriksa klien sertifikat dan berusaha pengidentifikasi objek tujuan yang benar di aplikasi kebijakan ekstensi. Sebagai contoh, identifikasi objek untuk otentikasi klien adalah 1.3.6.1.5.5.7.3.2. Jika sertifikat yang digunakan untuk otentikasi klien, pengidentifikasi objek ini harus ada di ekstensi IDEKU sertifikat, atau otentikasi gagal. Sertifikat yang memiliki ekstensi IDEKU terus mengotentikasi dengan benar.
  
  Jika Anda tidak dapat mengakses dengan benar kembali sertifikat untuk sementara, Anda dapat memilih untuk masuk atau keluar dari keamanan perubahan di semua komputer operasi untuk menghindari efek konektivitas. Untuk melakukannya, tetapkan registri berikut kunci pengaturan, tergantung pada versi.NET Framework aplikasilication target .
  
  Metode 1: Memperbarui kunci registri (tersedia untuk semua versi)
  
  Catatan Entri registri ini harus entri DWORD.
  

  • Untuk 32-bit proses pada sistem 32-bit dan 64-bit proses pada sistem 64-bit:
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  • Untuk 32-bit proses pada sistem 64-bit:
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  Anda juga dapat memilih keluar secaralication per aplikasi. Opsi berikut ini tersedia untuk menonaktifkan perubahan ini untuk membuat yakin bahwa aplikasilication kompatibilitas dipertahankan.
  
  Metode 2: Menonaktifkan kebijakan untuk setiap aplikasi
  
  Catatan Entri Tdalam registri harus entri DWORD. Nilai hanya berlaku adalah 0. Apa pun lainnya nilai akan diabaikan.

  • Untuk 32-bit proses pada sistem 32-bit dan 64-bit proses pada sistem 64-bit:

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • Untuk 32-bit proses pada sistem 64-bit:

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  Metode 3: menggunakan API konfigurasi (tersedia untuk .NET Framework 4.6 dan versi yang lebih baru)
  
  Mulai di .NET Framework 4.6, Anda dapat mengubah konfigurasi pada tingkat aplikasi melalui kode, konfigurasi aplikasi, atau perubahan registri.
  
  Mengkonfigurasi switch di.NET Framework 4.6
  
  Catatan Berikut ini contoh Nonaktifkan fitur keamanan.

  • Programmatically
    
    Hal pertama yang harus dilakukan oleh aplikasi menjalankan kode berikut. Hal ini karena manajer titik Layanan menginisialisasis hanya satu kali.
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • Application configuration
    
    Untuk mengubah konfigurasi aplikasi, tambahkan entri berikut ini:
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • Kunci registri (mesin global):
    

    Registry location: HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    Type: String
    Nilai: "benar"

  Catatan Secara default, Switch.System.Net.DontCheckCertificateEKUsName = True untuk semua .NET Framework 4. x aplikasi yang berjalan di .NET Framework 4.6 dan versi yang lebih baru.

• Untuk informasi selengkapnya tentang keamanan pemutakhiran yang berkaitan dengan Windows Server 2012, lihat artikel di Pangkalan Pengetahuan Microsoft:

  4019110 keamanan hanya pemutakhiran untuk .NET Framework 3.5 Paket Layanan 1, 4.5.2, 4.6, 4.6.1 dan 4.6.2 pembaruan untuk Windows Server 2012: 9 Mei 2017

Cara mendapatkan dan menginstal pemutakhiran

Informasi file

Cara mendapatkan bantuan dan dukungan untuk pemutakhiran keamanan

• Bantuan untuk menginstal pemutakhiran: FAQ Pemutakhiran Windows

• Solusi keamanan bagi profesional TI: Dukungan keamanan dan pemecahan masalah

• Membantu melindungi berbasis Windows produk dan layanan Anda dari virus dan malware: Microsoft aman

• Dukungan lokal negara: Dukungan internasional

Berlaku untuk

Artikel ini berlaku untuk berikut ini:

• Microsoft .NET Framework 4.6 dan 4.6.1 ketika digunakan dengan:

  • Windows Server 2012