คำอธิบายของการปรับปรุงความปลอดภัยเท่านั้นสำหรับ 4.6 กรอบงาน.NET และ 4.6.1 การสำหรับ Windows Server 2012: 9 พฤษภาคม 2017

สรุป

การปรับปรุงการรักษาความปลอดภัยนี้สำหรับ Microsoft .NET Framework สามารถแก้ไขช่องโหว่ข้ามคุณลักษณะความปลอดภัยที่.NET Framework (และแกนนำ.NET) คอมโพเนนต์ไม่ตรวจสอบใบรับรองอย่างสมบูรณ์ เมื่อต้องการเรียนรู้เพิ่มเติมเกี่ยวกับช่องโหว่นี้ ดูช่องโหว่ทั่วไปของ Microsoft และ Exposures CVE-2017-0248

โปรแกรมปรับปรุงนี้ยังประกอบด้วยการแก้ไขปรับปรุงการรักษาความปลอดภัยกับความสามารถของคอมโพเนนต์ของกรอบงานนำเสนอ Windows PackageDigitalSignatureManagerแพคเกจกับอัลกอริทึมการแฮ SHA256 การลงชื่อเข้าใช้

สิ่งสำคัญ

• ถ้าคุณติดตั้งชุดภาษาหลังจากที่คุณติดตั้งโปรแกรมปรับปรุงนี้ คุณต้องติดตั้งโปรแกรมปรับปรุงนี้อีกครั้ง ดังนั้น เราขอแนะนำให้คุณติดตั้งชุดภาษาใด ๆ ที่คุณต้องการก่อนที่คุณจะติดตั้งโปรแกรมปรับปรุงนี้ สำหรับข้อมูลเพิ่มเติม ดูชุดภาษาเพิ่มลงใน Windows

ข้อมูลเพิ่มเติมเกี่ยวกับการปรับปรุงการรักษาความปลอดภัยนี้

• การใช้คีย์ขั้นสูง (EKU) ถูกอธิบายไว้ในRFC 5280 ในส่วน 4.2.1.12: ส่วนขยายนี้บ่งชี้ว่า หนึ่ง หรือวัตถุประสงค์เพิ่มเติม สำหรับที่ คีย์สาธารณะที่ออกใบรับรองอาจใช้ได้ นอกจากนี้ หรือแทนวัตถุประสงค์พื้นฐานที่มีระบุไว้ในส่วนขยายการใช้คีย์ ตัวอย่างเช่น ใบรับรองที่ใช้สำหรับการรับรองความถูกต้องของไคลเอนต์ไปยังเซิร์ฟเวอร์ต้องถูกกำหนดค่าสำหรับการรับรองความถูกต้องของไคลเอ็นต์ ในทำนองเดียวกัน ใบรับรองที่ใช้สำหรับการรับรองความถูกต้องของเซิร์ฟเวอร์ต้องถูกกำหนดค่าสำหรับการรับรองความถูกต้องของเซิร์ฟเวอร์
  
  เมื่อมีใช้ใบรับรองสำหรับการรับรองความถูกต้อง การรับรองความถูกต้องตรวจสอบไคลเอ็นต์ใบรับรองและค้นหาตัวระบุวัตถุวัตถุประสงค์ที่ถูกต้องในส่วนขยายของนโยบายเกี่ยวกับโปรแกรมประยุกต์ ตัวอย่างเช่น รหัสออบเจ็กต์สำหรับการรับรองความถูกต้องของไคลเอ็นต์เป็น 1.3.6.1.5.5.7.3.2 เมื่อมีใช้ใบรับรองสำหรับการรับรองความถูกต้องของไคลเอ็นต์ ตัวระบุวัตถุนี้ต้องแสดงในส่วนขยาย EKU ของใบรับรอง หรือรับรองความถูกต้องล้มเหลว ใบรับรองที่มีนามสกุล EKU ไม่ดำเนินการต่อไปเพื่อรับรองความถูกต้อง
  
  ถ้าคุณไม่สามารถเข้าถึงใบรับรองได้อย่างถูกต้องreissued ชั่วคราว คุณสามารถเลือกที่จะเข้าร่วมในหรือออกจากการรักษาความปลอดภัยเปลี่ยนระหว่างปฏิบัติการของคอมพิวเตอร์ทั้งหมดเพื่อหลีกเลี่ยงการลักษณะพิเศษใด ๆ ที่เชื่อมต่อ เมื่อต้องการทำเช่นนี้ ระบุรีจิสทรีต่อไปนี้คีย์การตั้งค่า ขึ้นอยู่กับ.NET Frameworkรุ่นของ appรแกรมประยุกต์กำหนดเป็นเป้าหมาย
  
  วิธีที่ 1: การปรับปรุงรีจิสทรีคีย์ (พร้อมใช้งานสำหรับรุ่นทั้งหมด)
  
  หมายเหตุ รายการรีจิสทรีนี้ต้องเป็นรายการ DWORD
  

  • สำหรับกระบวนการ 32 บิตบนระบบ 32 บิตและ 64 บิตการประมวลผลบนระบบ 64 บิต:
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  • สำหรับกระบวนการ 32 บิตระบบ 64 บิต:
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  คุณยังสามารถเลิกประจำรแกรมประยุกต์ต่อโปรแกรมประยุกต์ ตัวเลือกต่อไปนี้จะพร้อมใช้งานสำหรับการปิดใช้งานการเปลี่ยนแปลงนี้เมื่อต้องการตรวจสอบให้แน่ใจว่าโปรแกรมประยุกต์รแกรมประยุกต์ความเข้ากันได้ถูกรักษาไว้
  
  วิธีที่ 2: ปิดใช้งานนโยบายสำหรับโปรแกรมประยุกต์แต่ละตัว
  
  หมายเหตุ รายการTรีจิสทรีของเขาต้องเป็นรายการ DWORD ค่าถูกต้องเท่านั้นคือ0 ใด ๆ อื่น ๆ ค่าจะถูกละเว้นไป

  • สำหรับกระบวนการ 32 บิตบนระบบ 32 บิตและ 64 บิตการประมวลผลบนระบบ 64 บิต:

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • สำหรับกระบวนการ 32 บิตระบบ 64 บิต:

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  วิธีที่ 3: ใช้การตั้งค่าคอนฟิก API (พร้อมใช้งานสำหรับ.NET Framework 4.6 และรุ่นที่ใหม่กว่า)
  
  เริ่มต้นในการที่ 4.6 .NET Framework คุณสามารถเปลี่ยนการตั้งค่าคอนฟิกที่ระดับโปรแกรมประยุกต์ผ่านรหัสการกำหนดค่าโปรแกรมประยุกต์,หรือการเปลี่ยนแปลงรีจิสทรีได้
  
  สวิตช์ในการตั้งค่าคอนฟิก.NET Framework 4.6
  
  หมายเหตุ ต่อไปนี้ตัวอย่างปิดใช้งานคุณลักษณะการรักษาความปลอดภัย

  • Programmatically
    
    สิ่งแรกที่ควรทำแอพลิเคชันจะรันรหัสต่อไปนี้ เป็นเช่นนี้ เพราะตัวจัดการบริการจุดเริ่มต้นsเพียงครั้งเดียว
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • Application configuration
    
    เมื่อต้องการเปลี่ยนการตั้งค่าคอนฟิกแอพลิเคชัน เพิ่มรายการต่อไปนี้:
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • คีย์รีจิสทรี (จักรสากล):
    

    Registry location: HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    ชนิด: สายอักขระ
    ค่า: "จริง"

  หมายเหตุ โดยค่าเริ่มต้นSwitch.System.Net.DontCheckCertificateEKUsName = Trueสำหรับทั้งหมด.NET Framework 4 x โปรแกรมประยุกต์ที่กำลังทำงานอยู่บนการ.NET Framework 4.6 และรุ่นที่ใหม่กว่า

• สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการรักษาความปลอดภัยนี้ปรับปรุงเท่านั้นเกี่ยวข้องกับ Windows Server 2012 ดูบทความในฐานความรู้ของ Microsoft ต่อไปนี้:

  ปรับปรุงความปลอดภัยเท่านั้นสำหรับ 1 .NET Framework 3.5 Service Pack 4019110 , 4.5.2, 4.6, 4.6.1 การ และ 4.6.2 การปรับปรุงสำหรับ Windows Server 2012: 9 พฤษภาคม 2017

วิธีการขอรับและติดตั้งการปรับปรุง

ข้อมูลแฟ้ม

วิธีการขอรับบริการช่วยเหลือและสนับสนุนสำหรับการปรับปรุงการรักษาความปลอดภัยนี้

• วิธีใช้สำหรับการติดตั้งการปรับปรุง:บ่อยโปรแกรมปรับปรุงของ Windows

• โซลูชันการรักษาความปลอดภัยสำหรับผู้เชี่ยวชาญด้าน IT: สนับสนุนการรักษาความปลอดภัยของ TechNet และการแก้ไขปัญหาเบื้องต้น

• ช่วยป้องกัน Windows โดยใช้ผลิตภัณฑ์และบริการของคุณจากไวรัสและมัลแวร์: รักษาความปลอดภัยของ Microsoft

• การสนับสนุนท้องที่ในประเทศของคุณ:การสนับสนุนสากล

นำไปใช้กับ

บทความนี้ใช้ต่อไปนี้:

• Microsoft .NET Framework 4.6 และ 4.6.1 การเมื่อใช้กับ:

  • Windows Server 2012