MS16-065: Descrição vulnerabilidade de divulgação de informações de protocolo TLS/SSL (CVE-2016-0149): 10 de Maio de 2016

Opção 1: Mudar para o protocolo TLS 1.2

Esta opção faz com que a aplicação utiliza o protocolo TLS 1.2 quer modificando o registo ou configurar programaticamente a versão do protocolo.

• Modificar o registo
  
  Importante
  Siga os passos nesta secção cuidadosamente. Poderão ocorrer problemas graves se modificar o registo incorretamente. Antes, modificá-lo, cópias de segurança do registo para restauro no caso de ocorrerem problemas.
  
  O .NET Framework 4.0 e as aplicações de 4.5.x do .NET Framework que estão em execução no .NET Framework 4.5 e versões posteriores podem mudar o protocolo predefinido para a TLS 1.2, o TLS 1.1 e o TLS 1.0, activando a chave de registo SchUseStrongCrypto . Esta chave de registo é discutida na secção Acções sugeridas no tópico de aviso de segurança da Microsoft 2960358 no Web site da Microsoft TechNet.
  
  Importante Esta alteração de registo só funcionará caso se verifiquem as seguintes condições:

  • Aplicações que utilizem APIs baseadas em ServicePointManager não está a definir o valor de ServicePointManager.SecurityProtocol explicitamente. Os exemplos dessas classes incluem System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequeste System.Net.Mail.SmtpClient. Definir o ServicePointManager.SecurityProtocol no código tem precedência sobre o registo.

  • As aplicações utilizam a sobrecarga de SslStream AuthenticateAsClient(String) .

  
  

• Configurar programaticamente a versão do protocolo
  
  O .NET Framework 4.0 e 4.5 aplicações que estão em execução no .NET Framework 4.5 e versões posteriores e que utilizam a sobrecarga de SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) devem ser recompiladas, especificando SslProtocols.Tls12, SslProtocols.Tls11e SslProtocols.Tls como o terceiro parâmetro. Para obter uma descrição detalhada de como utilizar a classe de SslStream, consulte o tópico de Classe de SslStream no Web site da Microsoft para programadores (MSDN).
  
  Nota O .NET Framework 4.6 e versões posteriores utilizam TLS 1.2, o TLS 1.1 e o TLS 1.0 como as predefinições de protocolo. Este assunto é discutido no tópico de aviso de segurança da Microsoft 2960358 no Web site da Microsoft TechNet.

Opção 2: Dividir do identificador de pacotes

Esta actualização faz com que um único registo a ser dividida em vários registos. Por conseguinte, se uma aplicação espera que o registo completo esteja disponível numa única chamada de leitura , esses pedidos poderão quebrar. Para se certificar de que a aplicação funciona correctamente, certifique-se de que a aplicação processa pacotes de divisão por efectuar a chamada de Stream.Read correctamente. Pode utilizar o exemplo código disponíveis aqui uma referência para a correcção da aplicação para efectuar correctamente a chamada de leitura .

Para um exemplo de pedido HTTP que mostra a diferença no comportamento anterior (com a mitigação) e depois de (sem as medidas de atenuação) foram instaladas actualizações 3147461 e 3147458 , consulte a secção "Mais informação".

Para um exemplo do método Stream.Read completo, consulte o tópico do Método Stream.Read (Byte [], Int32, Int32) no Web site da Microsoft para programadores (MSDN).

Método 1: Actualizar chaves de registo (disponíveis para todas as versões do .NET Framework)

Desactivar a estrutura SCH_SEND_AUX_RECORD (Globally Unique Identifier)

Desactivar a estrutura SCH_SEND_AUX_RECORD para aplicações individuais

Método 2: Alterar a configuração ao nível da aplicação (disponível apenas para o .NET Framework versão 4.6 e versões posteriores)

Começando a 4.6. .NET Framework, pode alterar a configuração de um nível da aplicação através das alterações de configuração ou registo de código ou aplicação.

4.6 de Framework .NET, pode definir o parâmetro utilizando qualquer um dos seguintes métodos. Estes exemplos desactivar a funcionalidade de segurança.

• Através de programação
  
  A primeira coisa que deve fazer a aplicação está a executar o seguinte código. Isto acontece porque o Gestor do serviço de ponto será inicializado apenas uma vez.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Configuração da aplicação
  
  Para alterar a configuração da aplicação, adicione a seguinte entrada:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Chave de registo (global do computador)
  
  

  Localizações no registo: HKEY_LOCAL_MACHINE\Software\Microsoft\ de . NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Valor: Switch.System.Net.DontEnableSchSendAuxRecord
  Tipo: Cadeia de caracteres
  Valor: VERDADEIRO
  
  Nota Switch.System.Net.DontEnableSchSendAuxRecord = False para todas as aplicações.