MS16-065：TLS/SSL 协议信息泄漏漏洞 (CVE-2016-0149) 的说明：2016 年 5 月 10 日

选项 1：切换到 TLS 1.2 协议

此选项通过修改注册表或以编程方式配置协议版本，使应用程序使用 TLS 1.2 协议。

• 修改注册表
  
  重要提示
  请仔细按照本部分中的步骤操作。对注册表修改不当可能会导致严重问题。在修改注册表之前，请备份注册表以便 在出现问题时进行还原。
  
  运行在 .NET Framework 4.5 及更高版本上的 .NET Framework 4.0 和 .NET Framework 4.5.x 应用程序可以通过启用 SchUseStrongCrypto 注册表项，将默认协议切换到 TLS 1.2、TLS 1.1 和 TLS 1.0。Microsoft TechNet 网站上 Microsoft 安全通报 2960358 中的建议操作一节中讨论了此注册表项。
  
  重要提示 只有满足下列条件，此注册表更改才有效：

  • 使用基于 ServicePointManager 的 API 的应用程序未明确设置 ServicePointManager.SecurityProtocol 值。这种类的示例包括 System.Net.Http.HttpClient、System.Net.FtpWebRequest、System.Net.HttpWebRequest 和 System.Net.Mail.SmtpClient。在代码中设置 ServicePointManager.SecurityProtocol 优先于注册表。

  • 应用程序使用的是 SslStream AuthenticateAsClient(String) 重载。

  
  

• 以编程方式配置协议版本
  
  必须重新编译在 .NET Framework 4.5 及更高版本上运行并且使用 SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) 重载的 .NET Framework 4.0 和 4.5 应用程序，同时指定 SslProtocols.Tls12、SslProtocols.Tls11 和 SslProtocols.Tls 作为第三个参数。有关对如何使用 SslStream 类的完整说明，请参阅 Microsoft Developer (MSDN) 网站上的 SslStream 类主题。
  
  注意 .NET Framework 4.6 及更高版本使用 TLS 1.2、TLS 1.1 和 TLS 1.0 作为协议默认设置。Microsoft TechNet 网站上的 Microsoft 安全通报 2960358 主题对此进行了讨论。

选择 2：处理拆分包

此更新导致将单个记录拆分为多个记录。因此，如果某个应用程序要在单个 Read 调用中获取完整记录，则该应用程序可能会中断。为了确保应用程序正常运行，请验证应用程序能否通过正确执行 Stream.Read 调用来处理拆分包。你可以将此处提供的示例代码作为参考，以了解如何修复应用程序，使其正确执行 Read 调用。

有关介绍在安装更新3147461 和3147458 之前（带缓解功能）和之后（不带缓解功能）在行为方面的区别的示例 HTTP 请求，请参阅“详细信息”部分。

有关 Stream.Read 方法的完整示例，请参阅 Microsoft Developer (MSDN) 网站上的 Stream.Read 方法 (Byte[], Int32, Int32) 主题。

方法 1：更新注册表项（适用于所有版本的 .NET Framework）

禁用 SCH_SEND_AUX_RECORD 结构（全局）

对单个应用程序禁用 SCH_SEND_AUX_RECORD 结构

变通办法

若要临时禁用本文中所述的安全模式，请单击相应链接下载 .reg 文件，然后双击下载的 .reg 文件，对注册表进行更改。

对于面向 Microsoft .NET Framework 3.5 的应用程序：

立即下载 ManualOptOutSchSendAuxRecord20.reg 文件。
对于面向 Microsoft .NET Framework 4.0 及更高版本的应用程序：

立即下载 ManualOptOutSchSendAuxRecord40.reg 文件。
若要重新启用本文中所述的安全模式，请单击相应链接下载 .reg 文件，然后双击下载的 .reg 文件，对注册表进行更改。

对于面向 Microsoft .NET Framework 3.5 的应用程序：

立即下载 ManualOptInSchSendAuxRecord20.reg 文件。
对于面向 Microsoft .NET Framework 4.0 及更高版本的应用程序：

立即下载 ManualOptInSchSendAuxRecord40.reg 文件。
有关如何下载 Microsoft 支持文件的详细信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

119591 如何从联机服务获得 Microsoft 支持文件 Microsoft 已对该文件进行了病毒扫描。Microsoft 使用的是该文件发布时提供的最新病毒检测软件。该文件存储在安全性得到增强的服务器上，以防止在未经授权的情况下对其进行更改。

方法 2：在应用程序级别更改配置（仅适用于 NET Framework 4.6 版本及更高版本）

从 .NET Framework 4.6 开始，可以通过代码或应用程序配置或注册表更改在应用程序级别更改配置。

在 .NET Framework 4.6 中，可以使用以下任何一种方法来设置此开关。这些示例可禁用安全功能。

• 通过编程方式
  
  应用程序应首先运行以下代码。这是因为服务点管理器只会初始化一次。
  

  private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; 
  private const string DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);

• 应用程序配置
  
  若要更改应用程序配置，请添加以下条目：
  

  <runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>

• 注册表项（全局计算机）
  
  

  注册表位置：HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\AppContext
  值： Switch.System.Net.DontEnableSchSendAuxRecord
  类型：字符串
  值： True
  
  注意 对于所有应用程序，Switch.System.Net.DontEnableSchSendAuxRecord = False。