[MS16-065] TLS/SSL プロトコルの情報漏洩の脆弱性について (CVE-2016-0149) (2016 年 5 月 10 日)

オプション 1: TLS 1.2 プロトコルに切り替える

このオプションでは、レジストリを変更するかプロトコルのバージョンをプログラム的に構成することによってアプリケーションで TLS 1.2 プロトコルを使用するようにします。

• レジストリの変更
  
  重要
  このセクションの手順の実行には注意が必要です。レジストリを誤って変更すると、深刻な問題が発生することがあります。レジストリを変更する前に、問題が発生した場合に備えて、復元できるようにレジストリのバックアップ を作成します。
  
  .NET Framework 4.5 以降のバージョン上で実行されている .NET Framework 4.0 および .NET Framework 4.5.x アプリケーションは、SchUseStrongCrypto レジストリ キーを有効にすることによって既定のプロトコルを TLS 1.2、TLS 1.1、および TLS 1.0 に切り替えることができます。このレジストリ キーの詳細については、マイクロソフト TechNet Web サイトのマイクロソフト セキュリティ アドバイザリ 2960358 の「推奨する対応策」セクションを参照してください。
  
  重要 このレジストリ変更は、以下の条件に該当する場合にのみ有効です。

  • ServicePointManager ベースの API を使用するアプリケーションが、ServicePointManager.SecurityProtocol の値を明示的に設定していない。そのようなクラスの例として、System.Net.Http.HttpClient、System.Net.FtpWebRequest、System.Net.HttpWebRequest、および System.Net.Mail.SmtpClient があります。コード内の ServicePointManager.SecurityProtocol の設定は、レジストリよりも優先されます。

  • アプリケーションが SslStream AuthenticateAsClient(String) オーバーロードを使用している

  
  

• プロトコルのバージョンのプログラム的な構成
  
  .NET Framework 4.5 以降で実行され、SslStream AuthenticateAsClient(String,  X509CertificateCollection,  SslProtocols,  Boolean) オーバーロードを使用している .NET Framework 4.0 および 4.5 アプリケーションは再コンパイルする必要があります。その際、3 番目のパラメーターとして、SslProtocols.Tls12、SslProtocols.Tls11、および SslProtocols.Tls を指定します。SslStream クラスの使用方法の詳細については、MSDN (Microsoft Developer Network) Web サイトの SslStream クラスのトピックを参照してください。
  
  注: .NET Framework 4.6 以降のバージョンは、既定のプロトコルとして TLS 1.2、TLS 1.1、および TLS 1.0 を使用します。この詳細については、Microsoft TechNet Web サイトのマイクロソフト セキュリティ アドバイザリ 2960358 を参照してください。

オプション 2: 分割パケットを処理する

この更新プログラムにより、1 つのレコードが複数のレコードに分割されます。そのため、アプリケーションが 1 回の Read の呼び出しで完全なレコードを使用できると想定している場合、そのようなアプリケーションが機能しなくなることがあります。アプリケーションが正しく動作するようにするには、アプリケーションが Stream.Read 呼び出しを正しく実行して分割パケットを処理することを確認します。こちらで利用できるサンプル コードを使用して、Read 呼び出しを正しく実行するようにアプリケーションを修正する方法を参照できます。

更新の前 (緩和策あり) と後 (緩和策なし) の違いを示すサンプルの HTTP 要求 3147461 および次の更新プログラムが含まれます。3147458 がインストールされます。「詳細」を参照してください。

Stream.Read メソッドの詳しい例については、MSDN (Microsoft Developer Network) Web サイトの Stream.Read Method (Byte[],  Int32,  Int32) のトピックを参照してください。

方法 1: レジストリ キーを更新する (すべてのバージョンの .NET Framework で使用可能です)

SCH_SEND_AUX_RECORD 構造を (グローバルに) 無効にします。

個別のアプリケーションの SCH_SEND_AUX_RECORD 構造を無効にします。

回避策

この資料で説明されているセキュリティで保護されたモードを一時的に無効にするには、適切なリンクをクリックして .reg ファイルをダウンロードし、ダウンロードした .reg ファイルをダブルクリックしてレジストリを変更します。

Microsoft .NET Framework 3.5 を対象としたアプリケーションの場合:

ManualOptOutSchSendAuxRecord20.reg ファイル
Microsoft .NET Framework 4.0 以降のバージョンを対象としたアプリケーションの場合:

ManualOptOutSchSendAuxRecord40.reg ファイル
この資料で説明されているセキュリティで保護されたモードを再び有効にするには、適切なリンクをクリックして .reg ファイルをダウンロードし、ダウンロードした .reg ファイルをダブルクリックしてレジストリを変更します。

Microsoft .NET Framework 3.5 を対象としたアプリケーションの場合:

ManualOptInSchSendAuxRecord20.reg ファイル
Microsoft .NET Framework 4.0 以降のバージョンを対象としたアプリケーションの場合:

ManualOptInSchSendAuxRecord40.reg ファイル
マイクロソフトのサポート ファイルをダウンロードする方法の詳細については、以下のマイクロソフト サポート技術情報番号をクリックしてください。

119591 オンライン サービスからマイクロソフトのサポート ファイルを入手する方法 マイクロソフトでは、アップロード時点の最新のウイルス検査プログラムを使用して、マイクロソフトでは、アップロード時点の最新のウイルス検査プログラムを使用して、配布ファイルのウイルス チェックを行っています。配布ファイルはセキュリティで保護されたサーバー上に置かれており、権限のない第三者が無断でファイルを変更できないようになっています。

方法 2: アプリケーション レベルで構成を変更します (.NET Framework バージョン 4.6 以降でのみ使用できます)

.NET Framework 4.6 以降では、コードまたはアプリケーションの構成、レジストリの変更によりアプリケーション レベルで構成を変更できます。

.NET Framework 4.6 では、次のいずれかの方法を使用してスイッチを設定できます。これらの例は、セキュリティ機能を無効にします。

• プログラム的
  
  アプリケーションで最初に次のコードを実行する必要があります。これは、Service Point Manager が 1 回のみ初期化するためです。
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; 
  private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);

• アプリケーションの構成
  
  アプリケーションの構成を変更するには、次のエントリを追加します。
  

  <runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>

• レジストリ キー (コンピューター グローバル)
  
  

  レジストリの場所:HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\AppContext
  値: Switch.System.Net.DontEnableSchSendAuxRecord
  種類:文字列型 (String)
  値: True
  
  注: すべてのアプリケーションについて Switch.System.Net.DontEnableSchSendAuxRecord = False を指定します。