MS12-006: Vulnerabilidade no SSL/TLS pode permitir a divulgação de informações: 10 de janeiro de 2012

Como obter ajuda e suporte para esta atualização de segurança

Os usuários domésticos podem obter suporte gratuito pelo telefone 1-866-PCSAFETY nos Estados Unidos e Canadá

(visite esta página para encontrar o número de telefone de sua localidade) ou contatando a subsidiária local da Microsoft. Para obter mais informações sobre como contatar sua subsidiária local da Microsoft para solucionar problemas de suporte com atualizações de segurança, visite o site de Suporte Internacional da Microsoft:

http://support.microsoft.com/common/international.aspx?ln=pt-br&rdpath=4Os clientes da América do Norte podem obter acesso instantâneo a suporte por email gratuito ilimitado ou a suporte individual por chat ilimitado visitando o seguinte site da Microsoft:

https://consumersecuritysupport.microsoft.com/default.aspx?locale=pt-br&st=1&wfxredirect=1Para clientes empresariais, o suporte para atualizações de segurança está disponível em seus contatos de suporte normais.

Solução Fix it para TLS 1.1 no Internet Explorer

Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.

Solução Fix it para TLS 1.1 em servidores baseados no Windows

Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.

Problemas conhecidos com esta atualização de segurança

Após instalar esta atualização de segurança, você pode experimentar falha de autenticação ou perda de conectividade com alguns servidores HTTPS. Este problema ocorre porque esta atualização de segurança altera a forma que os registros são enviados ao servidor HTTPS.

Para desativar ou reativar temporariamente esta atualização de segurança, clique no botão Fix it ou no link do cabeçalho Desativar atualização de segurança ou no cabeçalho Reativar atualização de segurança. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas descritas no assistente Corrigir.

Observações

• Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.

• Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.

A seguinte tabela mostra os valores que são aplicados a estas soluções Fix it para o registro SendExtraRecord da entrada DWORD:

Informações de Registro

Não recomendado Não recomendamos que você use o seguinte procedimento para desativar esta atualização de segurança. No entanto, fornecemos este procedimento para cenários nos quais você pode estar usando aplicativos incompatíveis com esta atualização de segurança, que permitem a divisão de Registros SSL para todos os aplicativos.

Importante Esta seção, método ou tarefa contém etapas que descrevem como modificar o Registro. No entanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Portanto, certifique-se de seguir essas etapas cuidadosamente. Para obter mais proteção, faça um backup do Registro antes de modificá-lo. Dessa forma, você poderá restaurar o Registro se ocorrer um problema. Para obter informações adicionais sobre como fazer backup e restaurar o Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:

322756Como fazer o backup e restaurar o Registro no Windows

Por padrão, esta atualização de segurança define o modo Aceitar no nível schannel devido aos problemas de compatibilidade do aplicativo. Para desativar esta atualização de segurança para todos os aplicativos do sistema, você deve adicionar um valor DWORD chamado SendExtraRecord que possui um valor de 2 para a seguinte subchave do Registro:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL Para adicionar esta entrada de Registro da entrada de registro schannel, siga estas etapas:

1. Clique em Iniciar, Executar, digite regedit na caixa Abrir e clique em OK.

2. Localize e clique na seguinte subchave do Registro:

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. No menu Editar, aponte para Novo e clique em Valor DWORD.

4. Digite SendExtraRecord para o nome do DWORD e pressione ENTER.

5. Clique com o botão direito em SendExtraRecord e clique em Modificar.

6. Na caixa Dados do valor, digite 2 para desativar o Registro de divisão no schannel e clique em OK.

7. Saia do Editor do Registro.

Esta entrada do Registro pode ter três valores, que fornecem diferentes modos de operação:

Com base em testes internos, descobrimos que não é possível definir o valor de Registro para 1, pois pode quebrar muitos cenários em uma empresa. Portanto, não incentivamos os usuários a usá-lo.

Problemas conhecidos com a ativação da entrada do Registro SendExtraRecord.

• Definir o valor de entrada do Registro SendExtraRecord para 1 impõe a divisão do Registro em cada chamada para criptografar os dados no schannel. Isso ocorre independente se o chamador envia o sinalizador Seguro durante a inicialização da sessão.

• Muitos aplicativos que usam o schannel são escritos de modo que o lado do receptor assume os dados do aplicativo que serão embalados em um único pacote. Isso ocorre mesmo que o aplicativo chame o schannel para descriptografar. Os aplicativos ignoram um sinalizador definido pelo schannel. O sinalizador indica ao aplicativo que não há mais dados a serem descriptografados e captados pelo receptor. Este método não segue o método prescrito pelo MSDN do uso do schannel. Como a atualização de segurança impõe a divisão do Registro, ocorre a quebra de tais aplicativos.

• Os aplicativos quebrados incluem produtos Microsoft e componentes na caixa. Os seguintes são exemplos de cenários que podem ser quebrados quando o valor do Registro SendExtraRecord é definido para 1:

• • Todos os produtos SQL e aplicativos embutidos no SQL.

  • Os Servidores de Terminal que possuam a Autenticação em Nível de Rede (NLA) ativada. Por padrão, a NLA está ativada no Windows Vista e versões posteriores do Windows.

  • Alguns cenários de RRAS (Routing Remote Access Service).

Definir o valor do Registro SendExtraRecord para 1 impõe a divisão de Registro segura para todos os aplicativos que usam o Windows TLS/SSL. No entanto, esta configuração provavelmente terá problemas de compatibilidade de aplicativos. Portanto, recomendamos que os clientes configurem o TLS 1.1 e o TLS 1.2 em vez de usar esta configuração de registro. O TLS 1.1 e o TLS 1.2 não são vulneráveis a este problema.

Se um usuário pretende usar esta configuração do Registro, recomendamos que realizem totalmente os testes de compatibilidade do aplicativo antes de implementá-los. Alguns produtos comuns que são conhecidos por serem afetados por esta configuração incluem produtos Microsoft SQL, Windows Terminal Server e Windows Remote Access Server.