INTRODUÇÃO
A Microsoft lançou o boletim de segurança MS12-006. Para exibir o boletim completo, visite um dos seguintes sites da Microsoft:
-
Usuários domésticos:
http://www.microsoft.com/pt-br/security/pc-security/bulletins/201201.aspxPular os detalhes: Baixe agora as atualizações para seu computador doméstico ou laptop pelo site do Microsoft Update:
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=pt-br
-
Profissionais de TI:
http://technet.microsoft.com/pt-br/security/bulletin/ms12-006
Como obter ajuda e suporte para esta atualização de segurança
Os usuários domésticos podem obter suporte gratuito pelo telefone 1-866-PCSAFETY nos Estados Unidos e Canadá
(visite esta página para encontrar o número de telefone de sua localidade) ou contatando a subsidiária local da Microsoft. Para obter mais informações sobre como contatar sua subsidiária local da Microsoft para solucionar problemas de suporte com atualizações de segurança, visite o site de Suporte Internacional da Microsoft:
http://support.microsoft.com/common/international.aspx?ln=pt-br&rdpath=4Os clientes da América do Norte podem obter acesso instantâneo a suporte por email gratuito ilimitado ou a suporte individual por chat ilimitado visitando o seguinte site da Microsoft:
https://consumersecuritysupport.microsoft.com/default.aspx?locale=pt-br&st=1&wfxredirect=1Para clientes empresariais, o suporte para atualizações de segurança está disponível em seus contatos de suporte normais.
Corrigir para mim
Duas soluções Fix it estão disponíveis.
-
Solução Fix it para TLS 1.1 no Internet Explorer: A solução habilita o TLS 1.1, que não é afetado por essa vulnerabilidade, no Windows Internet Explorer. A maioria dos usuários padrões deve instalar essa solução Fix it.
-
Solução Fix it para TLS 1.1 em servidores baseados no Windows: A solução habilita o TLS 1.1, que não é afetado pela vulnerabilidade.
As soluções Fix it descritas nesta seção não são destinadas a substituir qualquer atualização de segurança. É recomendável ter sempre as atualizações de segurança mais recentes instaladas. No entanto, oferecemos as soluções Fix it como alternativas para alguns cenários.
Para obter mais informações sobre as soluções alternativas, consulte o boletim de segurança MS12-006:
http://technet.microsoft.com/pt-br/security/bulletin/ms12-006 O boletim fornece mais informações sobre o problema e inclui o seguinte:
-
Os cenários nos quais você pode aplicar ou desabilitar a solução alternativa
-
Fatores de redução
-
Soluções alternativas
-
Perguntas mais frequentes
Especificamente, para ver esta informação, procure na seção de Informações sobre Vulnerabilidade e expanda o parágrafo sobre Alternativas no parágrafo Protocolos de Vulnerabilidade SSL e TLS - CVE-2011-3389.
Solução Fix it para TLS 1.1 no Internet Explorer
Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.
|
Habilitar |
Desabilitar |
|---|---|
Observações
-
Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
-
Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.
Solução Fix it para TLS 1.1 em servidores baseados no Windows
Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.
|
Habilitar |
Desabilitar |
|---|---|
Observações
-
Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
-
Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.
Problemas conhecidos com esta atualização de segurança
Após instalar esta atualização de segurança, você pode experimentar falha de autenticação ou perda de conectividade com alguns servidores HTTPS. Este problema ocorre porque esta atualização de segurança altera a forma que os registros são enviados ao servidor HTTPS.
Para desativar ou reativar temporariamente esta atualização de segurança, clique no botão Fix it ou no link do cabeçalho Desativar atualização de segurança ou no cabeçalho Reativar atualização de segurança. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas descritas no assistente Corrigir.
|
Desativar a atualização de segurança |
Reativar a atualização de segurança |
|---|---|
Observações
-
Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
-
Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.
A seguinte tabela mostra os valores que são aplicados a estas soluções Fix it para o registro SendExtraRecord da entrada DWORD:
|
Cabeçalho |
Valor aplicado à entrada SendExtraRecord |
|---|---|
|
Desativar a atualização de segurança |
2 |
|
Reativar a atualização de segurança |
0 |
Problemas conhecidos e informações adicionais sobre esta atualização de segurança
Os artigos a seguir contêm informações adicionais sobre esta atualização de segurança em relação a versões de produtos individuais. Os artigos podem conter informações sobre problemas conhecidos. Se esse for o caso, o problema conhecido estará listado abaixo de cada link de artigo:
Informações de Registro
Não recomendado Não recomendamos que você use o seguinte procedimento para desativar esta atualização de segurança. No entanto, fornecemos este procedimento para cenários nos quais você pode estar usando aplicativos incompatíveis com esta atualização de segurança, que permitem a divisão de Registros SSL para todos os aplicativos.
Importante Esta seção, método ou tarefa contém etapas que descrevem como modificar o Registro. No entanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Portanto, certifique-se de seguir essas etapas cuidadosamente. Para obter mais proteção, faça um backup do Registro antes de modificá-lo. Dessa forma, você poderá restaurar o Registro se ocorrer um problema. Para obter informações adicionais sobre como fazer backup e restaurar o Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:
322756Como fazer o backup e restaurar o Registro no Windows
Por padrão, esta atualização de segurança define o modo Aceitar no nível schannel devido aos problemas de compatibilidade do aplicativo. Para desativar esta atualização de segurança para todos os aplicativos do sistema, você deve adicionar um valor DWORD chamado SendExtraRecord que possui um valor de 2 para a seguinte subchave do Registro:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL Para adicionar esta entrada de Registro da entrada de registro schannel, siga estas etapas:
-
Clique em Iniciar, Executar, digite regedit na caixa Abrir e clique em OK.
-
Localize e clique na seguinte subchave do Registro:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
-
No menu Editar, aponte para Novo e clique em Valor DWORD.
-
Digite SendExtraRecord para o nome do DWORD e pressione ENTER.
-
Clique com o botão direito em SendExtraRecord e clique em Modificar.
-
Na caixa Dados do valor, digite 2 para desativar o Registro de divisão no schannel e clique em OK.
-
Saia do Editor do Registro.
Esta entrada do Registro pode ter três valores, que fornecem diferentes modos de operação:
|
Valor da chave de Registro |
Descrição |
|---|---|
|
0 |
Por padrão, o schannel está incluído no "Modo Aceitar". Isso significa que esta atualização de segurança trabalhará para todos os chamadores que enviarem o sinalizador Seguro para o schannel. A entrada do Registro schannel "SendExtraRecord" não será criada pelo pacote de segurança. Portanto, não haver uma entrada do Registro schannel significa que o sistema está executando deste modo. Se alguém cria esta chave do registro e define o valor para 0, o schannel executará novamente deste modo. 2638806 MS12-006: Descrição da atualização de segurança do Winhttp no Windows Server 2003 e Windows XP Professional x64 Edition: 10 de janeiro de 2012 |
|
1 |
Definir o valor para 1 significa "ativado para todos". Isso significa que os chamadores não precisam enviar o sinalizador e o schannel dividirá todos os Registros SSL. Com este valor definido, os aplicativos não precisam fazer qualquer alteração. Um cliente que está muito preocupado com a segurança do sistema pode ajudar a tornar seu sistema mais seguro, permitindo esta chave do registro. |
|
2 |
Definir o valor para 2 significa "desativado para todos". Isso significa que o schannel não dividirá os Registros de qualquer chamada de criptografia que o aplicativo faz. Este modo não honra a bandeira Segura que um aplicativo envia. |
Com base em testes internos, descobrimos que não é possível definir o valor de Registro para 1, pois pode quebrar muitos cenários em uma empresa. Portanto, não incentivamos os usuários a usá-lo.
Problemas conhecidos com a ativação da entrada do Registro SendExtraRecord.
-
Definir o valor de entrada do Registro SendExtraRecord para 1 impõe a divisão do Registro em cada chamada para criptografar os dados no schannel. Isso ocorre independente se o chamador envia o sinalizador Seguro durante a inicialização da sessão.
-
Muitos aplicativos que usam o schannel são escritos de modo que o lado do receptor assume os dados do aplicativo que serão embalados em um único pacote. Isso ocorre mesmo que o aplicativo chame o schannel para descriptografar. Os aplicativos ignoram um sinalizador definido pelo schannel. O sinalizador indica ao aplicativo que não há mais dados a serem descriptografados e captados pelo receptor. Este método não segue o método prescrito pelo MSDN do uso do schannel. Como a atualização de segurança impõe a divisão do Registro, ocorre a quebra de tais aplicativos.
-
Os aplicativos quebrados incluem produtos Microsoft e componentes na caixa. Os seguintes são exemplos de cenários que podem ser quebrados quando o valor do Registro SendExtraRecord é definido para 1:
-
-
Todos os produtos SQL e aplicativos embutidos no SQL.
-
Os Servidores de Terminal que possuam a Autenticação em Nível de Rede (NLA) ativada. Por padrão, a NLA está ativada no Windows Vista e versões posteriores do Windows.
-
Alguns cenários de RRAS (Routing Remote Access Service).
-
Definir o valor do Registro SendExtraRecord para 1 impõe a divisão de Registro segura para todos os aplicativos que usam o Windows TLS/SSL. No entanto, esta configuração provavelmente terá problemas de compatibilidade de aplicativos. Portanto, recomendamos que os clientes configurem o TLS 1.1 e o TLS 1.2 em vez de usar esta configuração de registro. O TLS 1.1 e o TLS 1.2 não são vulneráveis a este problema.
Se um usuário pretende usar esta configuração do Registro, recomendamos que realizem totalmente os testes de compatibilidade do aplicativo antes de implementá-los. Alguns produtos comuns que são conhecidos por serem afetados por esta configuração incluem produtos Microsoft SQL, Windows Terminal Server e Windows Remote Access Server.
Perguntas frequentes
Pergunta: O que a Microsoft pode fazer para me ajudar a corrigir o meu aplicativo do servidor?
Resposta: Certifique-se de que o aplicativo pode lidar com a Fragmentação de Registros do aplicativo SSL/TLS, conforme descrito nos seguintes RFCs:
