MS16-065: Deskripsi kerentanan pengungkapan informasi protokol TLS/SSL (CVE-2016-0149): 10 Mei 2016

Opsi 1: Beralih ke protokol TLS 1.2

Opsi ini membuat aplikasi yang menggunakan protokol TLS 1.2 dengan memodifikasi registri atau secara programatik mengkonfigurasi versi protokol.

• Mengubah registri
  
  Penting
  Ikuti langkah-langkah di bagian ini dengan seksama. Masalah serius dapat terjadi apabila Anda salah mengubah registri. Sebelum Anda mengubahnya, Buatlah cadangan registri untuk pemulihan apabila terjadi masalah.
  
  .NET Framework 4.0 dan .NET Framework 4.5.x aplikasi yang berjalan di .NET Framework 4,5 dan versi yang lebih baru dapat beralih protokol standar TLS 1.0, TLS 1.1 dan TLS 1.2 dengan mengaktifkan kunci registri SchUseStrongCrypto . Kunci registri ini dibahas di bagian Tindakan yang disarankan topik 2960358 penasihat keamanan Microsoft di situs web Microsoft TechNet.
  
  Penting Perubahan registri ini hanya akan bekerja jika kondisi berikut benar:

  • Aplikasi yang menggunakan api berbasis ServicePointManager tidak menetapkan nilai ServicePointManager.SecurityProtocol secara eksplisit. Contoh kelas tersebut termasuk System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequest, dan System.Net.Mail.SmtpClient. Pengaturan ServicePointManager.SecurityProtocol kode lebih diutamakan daripada registri.

  • Aplikasi yang menggunakan berlebihan SslStream AuthenticateAsClient(String) .

  
  

• Mengkonfigurasi pemrograman versi protokol
  
  .NET Framework 4.0 dan 4.5 aplikasi yang berjalan di .NET Framework 4,5 dan versi yang lebih baru dan yang menggunakan berlebihan SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) harus menjadi recompiled, menentukan SslProtocols.Tls12, SslProtocols.Tls11dan SslProtocols.Tls sebagai parameter ketiga. Untuk deskripsi lengkap tentang cara menggunakan kelas SslStream, lihat topik SslStream kelas di situs web Pengembang Microsoft (MSDN).
  
  Catatan .NET Framework 4.6 dan versi yang lebih baru menggunakan TLS 1.0, TLS 1.1 dan TLS 1.2 sebagai default protokol. Ini membahas topik 2960358 penasihat keamanan Microsoft di situs web Microsoft TechNet.

Opsi 2: Menangani terpisah paket

Pemutakhiran ini menyebabkan data tunggal untuk dibagi menjadi beberapa data. Oleh karena itu, jika aplikasi mengharapkan catatan lengkap tersedia dalam satu Baca panggilan, aplikasi tersebut dapat merusak. Untuk memastikan bahwa aplikasi berperilaku dengan benar, verifikasi bahwa aplikasi menangani split paket dengan melakukan panggilan Stream.Read dengan benar. Anda dapat menggunakan contoh kode tersedia di sini sebagai referensi untuk cara untuk memperbaiki aplikasi untuk melakukan panggilan dibaca dengan benar.

Permintaan HTTP contoh yang menunjukkan perbedaan dalam perilaku sebelum (dengan mitigasi) dan setelah (tanpa mitigasi) pembaruan 3147461 dan 3147458 diinstal, lihat bagian "Informasi selengkapnya".

Untuk contoh Stream.Read metode yang lengkap, lihat topik Stream.Read metode (Byte [], Int32, Int32) di situs web Pengembang Microsoft (MSDN).

Metode 1: Memperbarui kunci registri (tersedia untuk semua versi .NET Framework)

Nonaktifkan struktur SCH_SEND_AUX_RECORD (global)

Nonaktifkan SCH_SEND_AUX_RECORD struktur untuk setiap aplikasi

Metode 2: Mengubah konfigurasi di tingkat aplikasi (hanya tersedia untuk versi .NET Framework 4.6 dan versi yang lebih baru)

Dimulai dengan .NET Framework 4.6, Anda dapat mengubah konfigurasi pada tingkat aplikasi melalui kode atau aplikasi perubahan konfigurasi atau registri.

.NET Framework 4.6, Anda dapat menetapkan switch dengan menggunakan salah satu metode berikut. Contoh ini menonaktifkan fitur keamanan.

• Pemrograman
  
  Hal pertama yang harus dilakukan oleh aplikasi menjalankan kode berikut. Hal ini karena manajer titik Layanan akan menginisialisasi hanya satu kali.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Konfigurasi aplikasi
  
  Untuk mengubah konfigurasi aplikasi, tambahkan entri berikut ini:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Kunci registri (komputer global)
  
  

  Lokasi registri: HKEY_LOCAL_MACHINE\Software\Microsoft\. NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Nilai: Switch.System.Net.DontEnableSchSendAuxRecord
  Type: String
  Nilai: Benar
  
  Catatan Switch.System.Net.DontEnableSchSendAuxRecord = False untuk semua aplikasi.