适用于 Windows 7 SP1 和 Windows Server 2008 R2 SP1 的 .NET Framework 4.6 和 4.6.1 以及适用于 Windows Server 2008 SP2 的 .NET Framework 4.6 仅安全更新说明：2017 年 5 月 9 日

使用注册表编辑器或其他方法修改注册表不当可能会出现严重问题。 这些问题可能需要您重新安装操作系统。 Microsoft 不能保证可解决这些问题。 请自行承担修改注册表的风险。

• 增强型密钥使用 (EKU) 在 RFC 5280 的第 4.2.1.12 节中进行了描述： 除了或替代在密钥使用扩展中表明的基本目的之外，此扩展表明可以使用认证公钥的一个或多个目的。 例如，用于客户端到服务器的身份验证的证书必须配置为“客户端身份验证”。 同样，用于服务器的身份验证的证书必须配置为“服务器身份验证”。
  
  当证书用于身份验证时，验证器检查客户端证书，并在应用程序策略扩展中查找正确的目的对象标识符。 例如，客户端身份验证的对象标识符为 1.3.6.1.5.5.7.3.2。 当证书用于客户端身份验证时，此对象标识符必须存在于证书的 EKU 扩展中，否则身份验证会失败。 没有 EKU 扩展的证书将继续正确地进行身份验证。
  
  如果暂时无法访问正确地重新颁发的证书，可以选择加入或退出跨所有计算机操作的安全更改，以避免任何连接效果。 为此，根据应用程序的目标 .NET Framework 版本，指定以下注册表项设置。
  
  方法 1： 更新注册表项（适用于所有版本）
  
  注意 此注册表项必须为 DWORD 项。
  

  • 对于 32 位系统上的 32 位进程和 64 位系统上的 64 位进程：
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  • 对于 64 位系统上的 32 位进程：
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  你还可以根据每个应用程序选择退出。 以下选项可用于禁用此更改，以确保维护应用程序兼容性。
  
  方法 2： 对各个应用程序禁用策略
  
  注意 此注册表项必须为 DWORD 项。 唯一的有效值为 0。 忽略其他任何值。

  • 对于 32 位系统上的 32 位进程和 64 位系统上的 64 位进程：

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • 对于 64 位系统上的 32 位进程：

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  方法 3： 使用配置 API（适用于 .NET Framework 4.6 及更高版本）
  
  从 .NET Framework 4.6 开始，你可以通过代码、应用程序配置或注册表更改来更改应用程序级别的配置。
  
  在 .NET Framework 4.6 中配置开关
  
  注意 以下示例可禁用安全功能。

  • 通过编程方式
    
    应用程序应首先运行以下代码。 这是因为服务点管理器只初始化一次。
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • 应用程序配置
    
    若要更改应用程序配置，请添加以下条目：
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • 注册表项（全局计算机）：
    

    注册表位置： HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    类型：字符串
    值： “true”

  注意 默认情况下，对于在 .NET Framework 4.6 及更高版本上运行的所有 .NET Framework 4.x 应用程序，Switch.System.Net.DontCheckCertificateEKUsName = True。

• 如需了解与 Windows 7 Service Pack 1 和 Windows Server 2008 R2 Service Pack 1 安全更新相关的更多信息，请参阅 Microsoft 知识库中的下列文章：

  4019108 适用于 Windows 7 Service Pack 1 和 Windows Server 2008 R2 Service Pack 1 的 .NET Framework 3.5.1、4.5.2、4.6、4.6.1 和 4.6.2 仅安全更新： 2017 年 5 月 9 日

  如需了解与 Windows Server 2008 Service Pack 2 安全更新相关的更多信息，请参阅 Microsoft 知识库中的下列文章：

  4019109 适用于 Windows Server 2008 Service Pack 2 的 .NET Framework 2.0 Service Pack 2、4.5.2 和 4.6 仅安全更新： 2017 年 5 月 9 日