MS16-065: Описание уязвимость раскрытия информации протокола TLS/SSL (CVE-2016-0149): 10 мая 2016 г.

Вариант 1: Переключение на протокол TLS 1.2

Этот параметр позволяет использовать протокол TLS 1.2 путем изменения реестра или программной настройке протокола версии приложения.

• Изменение реестра
  
  Важно:
  Тщательно выполните действия, описанные в этом разделе. При неправильном изменении реестра могут возникнуть серьезные проблемы. До изменения его резервную копию для восстановления реестра в случае возникновения проблем.
  
  Платформа.NET Framework 4.0 и платформа.NET Framework 4.5.x приложений, которые выполняются в .NET Framework 4.5 и более поздних версиях переключения по умолчанию протокол TLS 1.0, TLS 1.1 и TLS 1.2 включить раздел реестра SchUseStrongCrypto . Этот раздел реестра рассматривается в разделе Предлагаемые действия раздела 2960358 рекомендации безопасности корпорации Майкрософт на веб-узле Microsoft TechNet.
  
  Важно. Это изменение реестра будет работать только в том случае, если выполняются следующие условия:

  • Приложения, использующие API-интерфейсы на основе ServicePointManager установив значение ServicePointManager.SecurityProtocol явно . Примерами таких классов являются System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequestи System.Net.Mail.SmtpClient. Установка ServicePointManager.SecurityProtocol в коде имеет приоритет над реестра.

  • Приложения используют перегрузку SslStream AuthenticateAsClient(String) .

  
  

• Программно настроить версию протокола
  
  Должны быть перекомпилированы платформа.NET Framework 4.0 и 4.5 приложений, запущенных на .NET Framework 4.5 и более поздних версий и, используйте перегрузку SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) , указав в качестве третьего параметра SslProtocols.Tls12, SslProtocols.Tls11и SslProtocols.Tls . Полное описание того, как использовать класс SslStream содержатся в разделе Класс SslStream на веб-сайте Microsoft Developer (MSDN).
  
  Примечание. Платформа.NET Framework 4.6 и более поздних версий использовать по умолчанию протокол TLS 1.0, TLS 1.1 и TLS 1.2. Это рассматривается в подразделе 2960358 рекомендации безопасности корпорации Майкрософт на веб-узле Microsoft TechNet.

Вариант 2: Маркер разделения пакетов

Данное обновление приводит к одной записи можно разбить на несколько записей. Таким образом Если приложение ожидает завершения записи будут доступны в одном вызове чтения , может нарушить таких приложений. Чтобы убедиться в том, что приложение работает правильно, убедитесь, что приложение обрабатывает пакеты, разделения, выполняя вызов Stream.Read правильно. Можно использовать пример кода доступны здесь для справки по устранению приложения правильно выполнять вызов чтения .

Пример запроса HTTP, показана разница в поведении перед (Уменьшение) и после (без снижения) были установлены обновления 3147461 и 3147458 , обратитесь к разделу «Дополнительная информация».

Например метод Stream.Read приведены в разделе Метод Stream.Read (Byte [], Int32, Int32) на веб-сайте Microsoft Developer (MSDN).

Метод 1: Обновление реестра (доступно для всех версий платформа.NET Framework)

Отключить структуру SCH_SEND_AUX_RECORD (глобально)

Отключить SCH_SEND_AUX_RECORD структуры для отдельных приложений

Способ 2: Изменение конфигурации на уровне приложения (доступно только для платформа.NET Framework версии 4.6 и более поздних версий)

Начиная с 4.6 платформа.NET Framework, можно изменить конфигурацию на уровне приложения через код или приложение изменения конфигурации или реестра.

В 4.6 платформа.NET Framework можно установить параметр с помощью любого из следующих методов. В этих примерах отключить функцию безопасности.

• Программными средствами
  
  Первое, что должен сделать приложение выполняется следующий код. Это происходит потому, что точки Service Manager будет инициализировать только один раз.
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• Настройка приложения
  
  Чтобы изменить конфигурацию приложения, добавьте следующую запись:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• Раздел реестра (глобальный компьютер)
  
  

  В реестре: HKEY_LOCAL_MACHINE\Software\Microsoft\. NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\. NETFramework\AppContext
  Значение: Switch.System.Net.DontEnableSchSendAuxRecord
  Тип: Строка
  Значение: Значение true
  
  Примечание. Switch.System.Net.DontEnableSchSendAuxRecord = False для всех приложений.