MS16-065: คำอธิบายของช่องโหว่เปิดเผยข้อมูลของโพรโทคอล TLS/SSL (CVE-2016-0149): 10 พฤษภาคม 2016

ตัวเลือกที่ 1: การสลับไปยังโพรโทคอล TLS 1.2

ตัวเลือกนี้ทำให้แอพลิเคชันที่ใช้โพรโทคอล TLS 1.2 โดยการปรับเปลี่ยนรีจิสทรี หรือโดยทางโปรแกรมกำหนดค่าโพรโทคอลรุ่น

• ปรับเปลี่ยนรีจิสทรี
  
  สิ่งสำคัญ
  ทำตามขั้นตอนในส่วนนี้อย่างระมัดระวัง ปัญหาร้ายแรงอาจเกิดขึ้นหากคุณปรับเปลี่ยนรีจิสทรีอย่างไม่ถูกต้อง ก่อนจะปรับเปลี่ยนสำรองรีจิสทรีสำหรับการคืนค่าในกรณีที่เกิดปัญหาขึ้น
  
  ใน 4.0 กรอบงาน.NET และโปรแกรมประยุกต์ 4.5.x .NET Framework ที่กำลังทำงานบน.NET Framework 4.5 และรุ่นที่ใหม่กว่า สามารถสลับโพรโทคอลเริ่มต้น กับ TLS 1.2, TLS 1.1, TLS 1.0 โดยการเปิดใช้งานคีย์รีจิสทรีSchUseStrongCrypto คีย์รีจิสทรีนี้จะกล่าวถึงในส่วนการแนะนำการดำเนินการของหัวข้อ2960358 คำแนะนำด้านความปลอดภัยของ Microsoftบนเว็บไซต์ Microsoft TechNet
  
  สิ่งสำคัญ การเปลี่ยนแปลงรีจิสทรีนี้จะทำงานเท่านั้นถ้ามีเงื่อนไขต่อไปนี้:

  • โปรแกรมประยุกต์ที่ใช้ Api ที่ใช้ ServicePointManagerกำลังตั้งค่าServicePointManager.SecurityProtocolอย่างชัดเจน ตัวอย่างเช่นคลาสของรวมSystem.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequestและSystem.Net.Mail.SmtpClient การตั้งค่าServicePointManager.SecurityProtocolในรหัสจะมีความสำคัญเหนือรีจิสทรี

  • โปรแกรมประยุกต์ที่กำลังใช้การโอเวอร์โหลด SslStream AuthenticateAsClient(String)

  
  

• กำหนดค่าโพรโทคอลรุ่นโดยทางโปรแกรม
  
  ใน 4.0 กรอบงาน.NET และโปรแกรมประยุกต์ 4.5 ที่กำลังทำงานบน.NET Framework 4.5 และรุ่นที่ใหม่กว่า และที่ใช้มากเกินที่SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean)ต้องเป็น recompiled ระบุSslProtocols.Tls12, SslProtocols.Tls11และSslProtocols.Tlsเป็นพารามิเตอร์สาม สำหรับคำอธิบายที่สมบูรณ์ของวิธีการใช้คลาส SslStream ดูหัวข้อคลาส SslStreamบนเว็บไซต์ Microsoft สำหรับนักพัฒนา (MSDN)
  
  หมายเหตุ .NET Framework 4.6 และรุ่นที่ใหม่กว่าใช้ TLS 1.2, TLS 1.1 และ TLS 1.0 เป็นค่าเริ่มต้นโพรโทคอล นี้จะกล่าวถึงในหัวข้อ2960358 คำแนะนำด้านความปลอดภัยของ Microsoftบนเว็บไซต์ Microsoft TechNet

ตัวเลือกที่ 2: หมายเลขอ้างอิงแบ่งแพ็คเก็ต

โปรแกรมปรับปรุงนี้ทำให้ระเบียนเดียวจะแบ่งเป็นหลายเรกคอร์ด ดังนั้น ถ้าโปรแกรมประยุกต์ต้องการระเบียนสมบูรณ์พร้อมใช้งานในการเรียกอ่านเดียว โปรแกรมประยุกต์ดังกล่าวอาจแบ่ง เพื่อให้แน่ใจว่า โปรแกรมประยุกต์ทำงานได้อย่างถูกต้อง ตรวจสอบแอพลิเคชันการจัดการกับแพคเก็ตแยก โดยดำเนินการโทรStream.Readอย่างถูกต้อง คุณสามารถใช้ตัวอย่างรหัสมีอยู่ที่นี่เป็นการอ้างอิงสำหรับวิธีการแก้ไขแอพลิเคชันเพื่อดำเนินการเรียกเลขหมายแบบอ่านได้อย่างถูกต้อง

สำหรับการร้องขอ HTTP ตัวอย่าง ที่แสดงความแตกต่างในลักษณะการทำงานก่อน (พร้อมกับลด) และหลัง (โดยไม่ลด) ปรับปรุง3147461และ3147458ถูกติดตั้ง ให้ดูส่วน "ข้อมูลเพิ่มเติม"

ตัวอย่างของวิธีการStream.Readที่สมบูรณ์ ดูหัวข้อวิธีการ Stream.Read (ไบต์[ Int32, Int32)บนเว็บไซต์ Microsoft สำหรับนักพัฒนา (MSDN)

วิธีที่ 1: ปรับปรุงรีจิสทรีคีย์ (พร้อมใช้งานสำหรับ.NET Framework รุ่นทั้งหมด)

ปิดใช้งานโครงสร้าง SCH_SEND_AUX_RECORD (ส่วนกลาง)

ปิดใช้งานโครงสร้าง SCH_SEND_AUX_RECORD สำหรับโปรแกรมประยุกต์แต่ละตัว

วิธีที่ 2: เปลี่ยนแปลงการตั้งค่าคอนฟิกในระดับแอพลิเคชัน (ที่พร้อมใช้งานเฉพาะสำหรับ.NET Framework รุ่น 4.6 และรุ่นที่ใหม่กว่า)

เริ่มต้น ด้วย 4.6 กรอบงาน.NET คุณสามารถเปลี่ยนการตั้งค่าคอนฟิกที่ระดับโปรแกรมประยุกต์ผ่านรหัสหรือแอพลิเคชันรีจิสทรีหรือการตั้งค่าคอนฟิกการเปลี่ยนแปลง

ใน 4.6 กรอบงาน.NET คุณสามารถตั้งค่าสวิตช์ โดยใช้หนึ่งในวิธีต่อไปนี้ ตัวอย่างเหล่านี้ปิดใช้งานคุณลักษณะการรักษาความปลอดภัย

• โดยทางโปรแกรม
  
  สิ่งแรกที่ควรทำแอพลิเคชันจะรันรหัสต่อไปนี้ เป็นเช่นนี้ เพราะผู้จัดการจุดบริการจะเตรียมใช้งานเพียงครั้งเดียว
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);
  

• การตั้งค่าคอนฟิกแอพลิเคชัน
  
  เมื่อต้องการเปลี่ยนการตั้งค่าคอนฟิกแอพลิเคชัน เพิ่มรายการต่อไปนี้:
  

  <runtime><AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>
  

• คีย์รีจิสทรี (คอมพิวเตอร์ส่วนกลาง)
  
  

  ตำแหน่งที่ตั้งของรีจิสทรี: HKEY_LOCAL_MACHINE\Software\Microsoft\ NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\ NETFramework\AppContext
  ค่า: Switch.System.Net.DontEnableSchSendAuxRecord
  ชนิด: สายอักขระ
  ค่า: เป็นจริง
  
  หมายเหตุ Switch.System.Net.DontEnableSchSendAuxRecord = False สำหรับโปรแกรมประยุกต์ทั้งหมด