Simptomi
Prilikom pokušaja povezivanja, veza sa protokolom Transport Layer Security (TLS) se može prekinuti ili može da prekorači vreme povezivanja. Možda ćete dobiti i jednu ili više sledećih grešaka:
-
„Zahtev je prekinut: nije moguće kreirati SSL/TLS Secure Channel”
-
greška 0x8009030f
-
Greška zabeležena u evidenciji sistemskih događaja za događaj SCHANNEL 36887 sa šifrom upozorenja 20 i opisom „Došlo je do kritičnog upozorenja iz udaljene krajnje tačke. Protokolom TLS definisana šifra kritičnog upozorenja je 20.”
Uzrok
Zbog povećanja sigurnosti za CVE-2019-1318, sve ispravke za podržane verzije sistema Windows objavljene 8. oktobra 2019. ili kasnije uvode proširenje Extended Master Secret (EMS) za ponovnu podršku na način definisan zahtevom RFC 7627. Veze sa nekompatibilnim uređajima i operativnim sistemima trećih strana će verovatno imati problema ili neće uspeti.
Naredni koraci
Veze između dva uređaja koji rade sa bilo kojom podržanom verzijom sistema Windows ne bi trebalo da imaju taj problem nakon potpunog ažuriranja. Ne postoji ispravka za Windows za rešavanje ovog problema. Ove promene su potrebne za rešavanje bezbednosnog problema i usklađenosti sa bezbednosnim zahtevima.
Bilo koji operativni sistem treće strane, uređaj ili usluga koji ne podržavaju ponovnu podršku za EMS može pokazati probleme povezane sa TLS vezama. Obratite se administratoru, proizvođaču ili dobavljaču usluga za ispravke koje u potpunosti podržavaju ponovnu podršku za EMS kao što je definisano zahtevom RFC 7627.
Napomena Microsoft ne preporučuje onemogućavanje EMS-a. Ako je EMS bio prethodno onemogućen, može se ponovno omogućiti postavljanjem sledećih vrednosti ključa registratora:
HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel
Na TLS serveru: DisableServerExtendedMasterSecret: 0
Na TLS klijentu: DisableClientExtendedMasterSecret: 0
Napredne informacije za administratore
1. Windows uređaj koji pokušava da uspostavi vezu putem protokola Transport Layer Security (TLS) sa uređajem koji ne podržava proširenje Extended Master Secret (EMS) kada su dogovoreni kompleti šifri TLS_DHE_ * može povremeno da ne uspe u otprilike jednom od 256 pokušaja. Da biste ublažili ovaj problem, implementirajte jedno od sledećih rešenja navedenih prema redu prioriteta:
-
Omogućite podršku za proširenja Extend Master Secret (EMS) tokom izvođenja TLS veza na operativnom sistemu klijenta i na operativnom sistemu servera.
-
Za operativne sisteme koji ne podržavaju EMS, uklonite pakete šifri TLS_DHE_ * sa liste paketa šifri u operativnom sistemu uređaja sa TLS klijentom. Uputstva kako to da uradite u sistemu Windows potražite u članku Određivanje prioriteta paketa šifri sigurnih kanala (Schannel).
2. Operativni sistemi koji samo šalju poruke zahteva za certifikat u punom procesu rukovanja nakon nastavka nisu kompatibilni sa RFC 2246 (TLS 1.0) ili RFC 5246 (TLS 1.2), zbog čega nijedna veza neće uspeti. RFC-ovi ne garantuju ponovno pokretanje procesa, ali se ono može koristiti prema zahtevu TLS klijenta i servera. Ako naiđete na ovaj problem, moraćete da se obratite proizvođaču ili dobavljaču usluga za ispravke koje su u skladu sa standardima RFC-a.
3. Na FTP serverima ili klijentima koji nisu usklađeni sa zahtevima RFC 2246 (TLS 1.0) i RFC 5246 (TLS 1.2) može doći do neuspelog prenosa datoteka prilikom ponovnog pokretanja ili skraćenog rukovanja i neće uspeti nijedna veza. Ako naiđete na ovaj problem, moraćete da se obratite proizvođaču ili dobavljaču usluga za ispravke koje su u skladu sa standardima RFC-a.
Zahvaćene ispravke
Bilo koja najnovija kumulativna ispravka (LCU) ili mesečne zbirne ispravke i ispravke samo za bezbednost objavljene 8. oktobra 2019. ili kasnije za zahvaćene platforme mogu da imaju sledeći problem:
-
KB4517389 Najnovija kumulativna ispravka za Windows 10 u verziji 1903.
-
KB4519338 LCU za Windows 10 u verziji 1809 i Windows Server 2019.
-
KB4520008 Najnovija kumulativna ispravka za Windows 10 u verziji 1803.
-
KB4520004 Najnovija kumulativna ispravka za Windows 10 u verziji 1709.
-
KB4520010 Najnovija kumulativna ispravka za Windows 10 u verziji 1703.
-
KB4519998 LCU za Windows 10 u verziji 1607 i Windows Server 2016.
-
KB4520011 Najnovija kumulativna ispravka za Windows 10 u verziji 1507.
-
KB4520005 Mesečna zbirna ispravka za Windows 8.1 i Windows Server 2012 R2.
-
KB4520007 Mesečna zbirna ispravka za Windows Server 2012.
-
KB4519976 Mesečna zbirna ispravka za Windows 7 SP1 i Windows Server 2008 R2 SP1.
-
KB4520002 Mesečna zbirna ispravka za Windows Server 2008 SP2
Sledeća ispravka samo za bezbednost objavljena 8. oktobra 2019. za zahvaćene platforme može da ima sledeći problem:
-
KB4519990 Samo bezbednosna ispravka za Windows 8.1 i Windows Server 2012 R2.
-
KB4519985 Samo bezbednosna ispravka za Windows Server 2012 i Windows Embedded 8 Standard.
-
KB4520003 Samo bezbednosna ispravka za Windows 7 SP1 i Windows Server 2008 R2 SP1
-
KB4520009 Samo bezbednosna ispravka za Windows Server 2008 SP2
