การรับรองความถูกต้องใบรับรองไคลเอ็นต์ของ SSL/TLS ไม่ทำงานใน Windows 8 หรือ Windows Server 2012

อาการ

พิจารณาสถานการณ์สมมติต่อไปนี้:

• คุณสามารถใช้รับรองความถูกต้องใบรับรองไคลเอ็นต์ การรักษาความปลอดภัย Secure Sockets Layer / ขนส่งเลเยอร์ความปลอดภัย (SSL/TLS) บนคอมพิวเตอร์ที่กำลังเรียกใช้ Windows 8 หรือ Windows Server 2012

• การดำเนินการที่ไม่เกี่ยวข้องกับการรับรองความถูกต้องใบรับรองไคลเอ็นต์ SSL/TLS ค่อนข้าง จะทำ อย่างไรก็ตาม การดำเนินการที่ทำให้เก็บรากที่เชื่อถือได้เกินขีดจำกัด 16 กิโลไบต์ (KB) ตัวอย่างเช่น หนึ่งในการดำเนินการต่อไปนี้จะเกิดขึ้น:

  • ในเซสชันระยะไกล ผู้ใช้การรับรองความถูกต้อง probes เซิร์ฟเวอร์ปลายทาง SSL โดยใช้ใบรับรองไคลเอ็นต์ที่ห่วงโซ่การ novel ที่เชื่อถือได้ราก จากนั้น การเข้ารหัสลับแอพลิเคชันเขียนโปรแกรมอินเทอร์เฟซ (CAPI) ติดตั้งรากเชื่อถือได้ novel โดยอัตโนมัติ

  • ผู้ใช้เข้าสู่ระบบที่คอมพิวเตอร์ และเรียกดูเว็บไซต์ SSL/TLS ที่ได้รับการป้องกัน โดยรากเชื่อถือ novel

  • CAPI ปรับปรุงรากติดตั้งที่มีอยู่โดยอัตโนมัติ ลักษณะการทำงานนี้ทำให้ขนาดของรากเพื่อเพิ่มหรือเมื่อต้องการเปลี่ยนลำดับแจงนับ

  • การเปลี่ยนแปลงที่เกิดขึ้นในรหัสลำดับแจงนับใบรับรอง (ตัวอย่างเช่น คุณติดตั้งโปรแกรมแก้ไขด่วนที่เปลี่ยนรหัสร้านค้าใบรับรอง หรือเปลี่ยนแปลงการเรียงลำดับตาราง)

  • โดยใช้ใบรับรองในการสลับผู้ใช้

  • ผู้ดูแลระบบเท่านั้นที่ติดตั้งใบรับรองใหม่ไปยังที่เก็บรากที่เชื่อถือได้

ในสถานการณ์สมมตินี้ ที่ไคลเอ็นต์ใบรับรองรับรองความถูกต้องไม่ได้

หมายเหตุ  ปัญหานี้เกิดขึ้นโดยไม่คำนึงถึงค่าของรายการรีจิสทรีSendTrustedIssuerList อีกนัยหนึ่ง คุณไม่สามารถแก้ไขปัญหานี้ โดยการตั้งค่าสำหรับรายการรีจิสทรีSendTrustedIssuerList รายการรีจิสทรีSendTrustedIssuerListจะอยู่ภายใต้คีย์ย่อยของรีจิสทรีต่อไปนี้:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL

สาเหตุ

ปัญหานี้เกิดขึ้นเนื่องจากรายการหน่วยงานจัดเก็บใบรับรองรากที่เชื่อถือได้จะถูกปัดเศษไม่ถูกต้องบนฝั่งเซิร์ฟเวอร์ โดยค่าเริ่มต้น เซิร์ฟเวอร์ไม่ส่งรายการไปยังฝั่งไคลเอ็นต์ในระหว่างการตรวจสอบใบรับรองไคลเอ็นต์ ดังนั้น การตัดเศษไม่จำเป็น

การแก้ปัญหา

โปรแกรมแก้ไขด่วนนี้จะพร้อมใช้งานในแค็ตตาล็อกปรับปรุงของ Microsoft

สถานะ

Microsoft ยืนยันว่านี่เป็นปัญหาในผลิตภัณฑ์ของ Microsoft ซึ่งแสดงไว้ในส่วน "นำไปใช้กับ"

ข้อมูลเพิ่มเติม

ขนาดสูงสุดของแพคเก็ต TLS ที่ส่งผ่านเครือข่ายมีขนาด 16 กิโลไบต์ ในการตัดสินค้าจากคลังที่อธิบายไว้ในบทความนี้ เซิร์ฟเวอร์สร้างรายชื่อเฉพาะของหน่วยงานจัดเก็บใบรับรองที่ยอมรับได้ และจากนั้น ส่งรายการไปยังไคลเอนต์ หากหมายเลขของใบรับรองยอมรับได้มีขนาดใหญ่ (เช่น ใบรับรองมากกว่า 300), ขนาดของแพคเก็ต TLS อาจเกินขีดจำกัดขนาด 16 กิโลไบต์ ดังนั้น เซิร์ฟเวอร์ตัดทอนรายการเพื่อขนาด 16 กิโลไบต์สำหรับการส่งรายการไปยังไคลเอ็นต์

สำหรับข้อมูลเพิ่มเติมเกี่ยวกับศัพท์เฉพาะในการปรับปรุงซอฟต์แวร์ ให้คลิกหมายเลขบทความต่อไปนี้เพื่อดูบทความในฐานความรู้ของ Microsoft:

824684คำอธิบายของคำศัพท์มาตรฐานที่ใช้เพื่ออธิบายปรับปรุงซอฟต์แวร์ของ Microsoft