MS12-006：SSL/TLS 中的漏洞可能允许信息泄漏：2012 年 1 月 10 日

如何获取此安全更新的相关帮助和支持

帮助安装更新：Microsoft 更新支持

适用于 IT 专业人员的安全解决方案：TechNet 安全疑难解答和支持

帮助保护您运行 Windows 的计算机不受病毒和恶意软件危害：病毒解决方案和安全中心

基于国家/地区的本地支持：国际支持

适用于 Internet Explorer 上的 TLS 1.1 的 Fix it 解决方案

若要启用或禁用此 Fix it 解决方案，请单击“Fix it”按钮或“启用”或“禁用”标题下的链接。单击“文件下载”对话框中的“运行”，然后执行“修复此问题”向导中的步骤。

适用于基于 Windows 的服务器上的 TLS 1.1 的 Fix it 解决方案

若要启用或禁用此 Fix it 解决方案，请单击“Fix it”按钮或“启用”或“禁用”标题下的链接。单击“文件下载”对话框中的“运行”，然后执行“修复此问题”向导中的步骤。

此安全更新的已知问题

安装此安全更新后，您可能遇到验证失败或与某些 HTTPS 服务器的连接丢失的问题。此问题发生的原因是，此安全更新更改了记录发送到 HTTPS 服务器的方式。

要暂时禁用或重新启用此安全更新，请单击“Fix it”按钮或“禁用安全更新”或“重新启用安全更新”标题下的链接。单击“文件下载”对话框中的“运行”，然后执行 Fix it 向导中的步骤。

注意

• 此向导可能只提供英文版本。但是，自动修复对其他语言版本的 Windows 同样适用。

• 如果操作的计算机中并未出现此问题，则可将自动修复功能保存至闪存驱动器或 CD 中，以便您可以在出现此问题的计算机中运行该功能。

下表表示这些 Fix it 解决方案应用到 SendExtraRecord 注册表 DWORD 项的值：

注意SendExtraRecord 设置将包括在 Windows 的未来版本中。

注册表信息

不推荐 我们不建议您使用下列程序禁用此安全更新。但是，我们提供的此程序适用于某些情况，例如，您可能正在使用不与此安全更新兼容的应用程序，这会启用所有应用程序的拆分 SSL 记录。

重要说明 本部分（或称方法或任务）包含有关如何修改注册表的步骤。但是，注册表修改不当可能会出现严重问题。因此，请一定严格按照下列步骤操作。为了获得进一步保护，请在修改注册表之前对其进行备份。这样就可以在出现问题时还原注册表。有关如何备份和还原注册表的详细信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

322756如何在 Windows 中备份和还原注册表

默认情况下，由于应用程序兼容性问题，此安全更新在 schannel 级别设置 Opt-in 模式。要禁用系统范围内所有应用程序的这一安全更新，您必须将名为“SendExtraRecord”且值为 2 的 DWORD 值添加到以下注册表子项：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL 若要添加此 schannel 注册表项，请执行以下步骤：

1. 依次单击“开始”、“运行”，在“打开”框中键入“regedit”，然后单击“确定”。

2. 找到并单击注册表中的以下子项：

   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL

3. 在“编辑”菜单上，指向“新建”，然后单击“DWORD 值”。

4. 键入 SendExtraRecord 作为 DWORD 的名称，然后按 Enter 键。

5. 右键单击“SendExtraRecord”，然后单击“修改”.

6. 在“数值数据”框中，键入“2”禁用 schannel 中的拆分记录，然后单击“确定”。

7. 退出注册表编辑器。

此注册表项可以有三个值，每个值均提供不同的操作模式：

根据内部测试，我们发现您无法有效地将注册表值设置为 1，因为它会中断企业中的许多场景。因此，我们不鼓励用户使用它。

启用 SendExtraRecord 注册表项的已知问题

• 将 SendExtraRecord 注册表值设置为 1 会强制在每次调用 schannel 中的加密数据时执行记录拆分。无论调用方是否在会话初始化期间发送安全标志，都会出现此情况。

• 已编写了许多使用 schannel 的应用程序，因此接收端假定应用程序数据将被打包到一个单数据包中。即使应用程序调用 schannel 进行解密，仍然会发生这种情况。应用程序忽略 schannel 设置的标志。该标志向应用程序表明，有更多的数据需要由接收方进行解密和获取。此方法不遵循 MSDN 规定的使用 schannel 的方法。因为安全更新会强制执行记录拆分，这将中断此类应用程序。

• 中断的应用程序包括 Microsoft 产品和封装组件。以下是一些方案示例，在将 SendExtraRecord 注册表值设置为 1 时，它们会被中断：

• • 所有 SQL 产品以及构建到 SQL 上的应用程序。

  • 已开启网络级别身份验证 (NLA) 的终端服务器。默认情况下，在 Windows Vista 和更高版本的 Windows 中启用了 NLA。

  • 某些路由远程访问服务 (RRAS) 方案。

将 SendExtraRecord 注册表值设置为 1 会为所有使用 Windows TLS/SSL 的应用程序强制执行安全记录拆分。但是，此设置有可能出现应用程序兼容性问题。因此，我们建议客户配置 TLS 1.1 和 TLS 1.2，而不是使用此注册表设置。TLS 1.1 和 TLS 1.2 不易受到此问题的影响。

如果用户打算使用此注册表设置，我们建议他们在执行此操作之前对应用程序兼容性测试进行广泛的测试。已知的会受此设置影响的而一些常见产品包括 Microsoft SQL 产品、Windows 终端服务器和 Windows 远程访问服务器。