MS16-065: Opis luki w zabezpieczeniach związanej z ujawnieniem informacji protokołu TLS/SSL (CVE-2016-0149): 10 maja 2016

Opcja 1: Przełącz się do protokołu TLS 1.2

Ta opcja sprawia, że aplikacja używać protokołu TLS 1.2 przez modyfikację rejestru lub programowo Konfigurowanie wersji protokołu.

• Modyfikacja rejestru
  
  Ważne
  Kroki opisane w tej sekcji należy wykonać dokładnie. Nieprawidłowa modyfikacja rejestru może spowodować poważne problemy. Przed przystąpieniem do modyfikacji, wykonać kopię zapasową rejestru w celu przywrócenia w razie wystąpienia problemów.
  
  .NET Framework 4.0 i aplikacji 4.5.x.NET Framework, które są uruchomione w systemie.NET Framework 4.5 lub nowszym można włączyć domyślny protokół TLS 1.2, TLS 1.1 i TLS 1.0 przez włączenie klucza rejestru SchUseStrongCrypto . Ten klucz rejestru została omówiona w sekcji Zalecane czynności w temacie Microsoft Security Advisory 2960358 w witrynie sieci Web Microsoft TechNet.
  
  Ważne Tę zmianę rejestru będzie działać tylko, jeśli są spełnione następujące warunki:

  • Aplikacje, które używają interfejsów API opartych na ServicePointManager jest ustawienie wartości ServicePointManager.SecurityProtocol jawnie . Przykładami takich klas System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequesti System.Net.Mail.SmtpClient. Ustawienie ServicePointManager.SecurityProtocol w kodzie ma pierwszeństwo przed rejestru.

  • Aplikacje używają przeciążenie SslStream AuthenticateAsClient(String) .

  
  

• Programowo skonfigurować wersja protokołu
  
  .NET Framework 4.0 oraz 4.5 aplikacje uruchomione na.NET Framework 4.5 i nowsze wersje, które używają SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) przeciążenie musi być ponownie skompilowana, określając SslProtocols.Tls12, SslProtocols.Tls11i SslProtocols.Tls jako trzeciego parametru. Pełny opis sposobu użycia klasy zobacz temat Klasy w witrynie Microsoft Developer (MSDN).
  
  Uwaga .NET Framework 4.6 i nowsze wersje Użyj TLS 1.2, TLS 1.1 i TLS 1.0 jako domyślne protokołu. Jest to omówione w temacie Microsoft Security Advisory 2960358 w witrynie sieci Web Microsoft TechNet.

Opcja 2: Uchwyt podzielić pakiety

Ta aktualizacja powoduje, że pojedynczy rekord ma być podzielony na wiele rekordów. W związku z tym jeśli aplikacja oczekuje kompletny zapis ma być dostępny w pojedyncze wywołanie odczytu , takie aplikacje mogą przestać działać. Aby upewnić się, czy aplikacja działa poprawnie, sprawdź, czy aplikacja obsługuje pakiety split wykonując wywołanie więcej poprawnie. Umożliwia przykładowy kod dostępny tutaj jako punkt odniesienia dla jak naprawić aplikacji poprawnie wykonać wywołanie odczytu .

Aby uzyskać przykładowe żądanie HTTP, który pokazuje różnicę w zachowaniu przed (z ograniczenia zagrożenia) i po (bez ograniczenia) zostały zainstalowane aktualizacje 3147461 i 3147458 , zobacz sekcję "Więcej informacji".

Pełny przykład metody więcej zobacz temat Metoda więcej (Byte [], Int32, Int32) w witrynie Microsoft Developer (MSDN).

Metoda 1: Aktualizacja kluczy rejestru (dostępne dla wszystkich wersji systemu.NET Framework)

Wyłącz struktura SCH_SEND_AUX_RECORD (globalnie)

Wyłącz SCH_SEND_AUX_RECORD struktury dla poszczególnych aplikacji

Metoda 2: Zmień konfigurację na poziomie aplikacji (dostępne tylko dla wersji.NET Framework 4.6 i nowsze wersje)

Począwszy od programu.NET Framework 4.6, można zmienić konfigurację na poziomie aplikacji za pomocą kodu lub stosowania zmian konfiguracji lub rejestru.

.NET Framework 4.6 przełącznik można ustawić za pomocą dowolnej z następujących metod. Przykłady te należy wyłączyć funkcję zabezpieczeń.

• Programowo
  
  Pierwszą rzeczą, którą należy zrobić aplikacji jest uruchomiony zostanie poniższy kod. Jest to spowodowane Service Manager punkt zostanie zainicjowany tylko jeden raz.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Konfiguracja aplikacji
  
  Do zmiany konfiguracji aplikacji, należy dodać następujący wpis:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Klucz rejestru (komputer globalne)
  
  

  Lokalizacje rejestru: HKEY_LOCAL_MACHINE\Software\Microsoft\. NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Wartość: Switch.System.Net.DontEnableSchSendAuxRecord
  Typ: Ciąg znaków
  Wartość: PRAWDA
  
  Uwaga Switch.System.Net.DontEnableSchSendAuxRecord = False dla wszystkich aplikacji.