症狀
嘗試連線時，傳輸層安全 (TLS) 和安全通訊端層 (SSL) 可能會間歇性失敗或逾時。 您可能還會收到一個或多個以下錯誤：
- 「請求被中止：無法建立 SSL/TLS 安全通道」
- 錯誤 0x8009030f
- SCHANNEL 事件 36887 的系統事件日誌中記錄的錯誤，警告代碼為 20，並說明「從遠端終結點收到致命警報。 TLS協議定義致命警示代碼為20。」
原因
由於 CVE-2019-1318 的安全相關實施，2019 年 10 月 8 日或更高版本發表的 Windows 支援版本的所有更新都強制實施 RFC 7627 定義的擴展主金鑰 (EMS) 以恢復。 連線至不合規的協力廠商裝置和作業系統可能會出現問題或失敗。
後續步驟
完全更新后，運行任何受支援的 Windows 版本的兩個裝置之間的連線不應出現此問題。 Windows 不需針對這個問題安裝更新。 需要這些變更來解決安全問題和安全合規性。
不支援 EMS 恢復的任何協力廠商作業系統、裝置或服務都可能會遇到與 TLS 連線相關的問題。 您應該聯繫管理員、製造商或服務提供者以獲取完全支援 RFC 7627 定義的 EMS 恢復的更新。
注意 Microsoft 不建議停用 EMS。 如果 EMS 先前顯示為停用，則可以通過設定以下登錄機碼值來重新啟用它：
HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel
On TLS Server: DisableServerExtendedMasterSecret: 0
在 TLS 用戶端：DisableClientExtendedMasterSecret：0
管理員的進階資訊
1. 嘗試傳輸層安全 (TLS) 連接不支援擴展主秘密 (EMS) 的 Windows 裝置，當協商 TLS_DHE_* 密碼套件時，約有 256 次嘗試中偶爾失敗一次。 要緩解此問題，應按偏好順序實施列出的以下解決方案之一：
- 在用戶端和伺服器作業系統上執行 TLS 連線時啟用對擴展主金鑰 (EMS) 擴充的支援。
- 對於不支援 EMS 的作業系統，請從 TLS 用戶端裝置作業系統中的密碼套件清單中刪除 TLS_DHE_* 密碼套件。 有關如何在 Windows 上執行此操作的說明，請參閱排定 Schannel 密碼套件優先順序。
2. 僅在恢復後以完整握手方式發送憑證請求訊息的作業系統，不符合 RFC 2246 (TLS 1.0) 或 RFC 5246 (TLS 1.2) ，會導致每次連線失敗。 恢復不由 RFC 保證，但可以由 TLS 用戶端和伺服器自行決定使用。 如果您遇到此問題，您需要聯繫製造商或服務提供者以獲取符合 RFC 標準的更新。
3. 不符合 RFC 2246 (TLS 1.0) 及 RFC 5246 (TLS 1.2) 可能在恢復或簡短握手時無法傳輸檔案，導致每次連線失敗。 如果您遇到此問題，您需要聯繫製造商或服務提供者以獲取符合 RFC 標準的更新。
受影響的更新
2019 年 10 月 8 日以後針對受影響平台而發行的任何最新累積更新 (LCU) 和每月彙總套件可能會遇到此問題：
- KB4517389 適用於 Windows 10 1903 版的 LCU。
- KB4519338 適用於 Windows 10 1809 版和 Windows Server 2019 的 LCU。
- KB4520008 適用於 Windows 10 1803 版的 LCU。
- KB4520004 適用於 Windows 10 1709 版的 LCU。
- KB4520010 適用於 Windows 10 1703 版的 LCU。
- KB4519998 適用於 Windows 10 1607 版和 Windows Server 2016 的 LCU。
- KB4520011 適用於 Windows 10 1507 版的 LCU。
- KB4520005 適用於 Windows 8.1 和 Windows Server 2012 R2 的每月彙總套件。
- KB4520007 適用於 Windows Server 2012 的每月彙總套件。
- KB4519976 適用於 Windows 7 SP1 和 Windows Server 2008 R2 SP1 的每月彙總套件。
- KB4520002 適用於 Windows Server 2008 SP2 的每月彙總套件
2019 年 10 月 8 日針對受影響平台而發行的下列僅限安全性更新可能會遇到此問題：