Zaobilazna rješenja za kvarove TLS-a i isteke vremena na Windows sustavima

Ako imate problema s TLS greškama i vremenskim ograničenjima na vašem Windows sustavu, postoji nekoliko stvari koje možete učiniti kako biste zaobišli problem. Prvo pokušajte povećati vrijednost vremenskog ograničenja TLS-a u vašem registru. Da biste to učinili, otvorite uređivač registra (regedit.exe) i idite na sljedeći ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Zatim stvorite novu DWORD vrijednost pod nazivom 'EnableTls11' i postavite je na 1. Ako to ne uspije, možete pokušati onemogućiti TLS 1.0. Da biste to učinili, otvorite uređivač registra i idite na sljedeći ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Zatim stvorite novu DWORD vrijednost za svaki od sljedećih protokola i postavite ih na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Konačno, ako ništa drugo ne uspije, možete pokušati ponovno instalirati upravljačke programe mrežnog adaptera. Ovo je obično zadnje rješenje, ali ponekad može riješiti probleme s TLS-om. Ako imate problema s TLS greškama i vremenskim ograničenjima na vašem Windows sustavu, postoji nekoliko stvari koje možete učiniti kako biste zaobišli problem. Prvo pokušajte povećati vrijednost vremenskog ograničenja TLS-a u vašem registru. Da biste to učinili, otvorite uređivač registra (regedit.exe) i idite na sljedeći ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Zatim stvorite novu DWORD vrijednost pod nazivom 'EnableTls11' i postavite je na 1. Ako to ne uspije, možete pokušati onemogućiti TLS 1.0. Da biste to učinili, otvorite uređivač registra i idite na sljedeći ključ: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Zatim stvorite novu DWORD vrijednost za svaki od sljedećih protokola i postavite ih na 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Konačno, ako ništa drugo ne uspije, možete pokušati ponovno instalirati upravljačke programe mrežnog adaptera. Ovo je obično zadnje rješenje, ali ponekad može riješiti probleme s TLS-om.

Pričali smo o Rukovanje TLS , i kako može uspjeti. Također smo primijetili da je mnogo TLS kvarova bilo zbog toga što je Microsoft pokušavao popraviti stvari. Sigurnosno ažuriranje CVE-2019-1318 rezultiralo je nedavnim vraćanjem za TLS i SSL. To je uzrokovalo povremeni neuspjeh ili dugotrajnost TLS veza što je rezultiralo vremenskim ograničenjem. U ovom ćemo postu podijeliti rješenja za kvarove TLS-a i isteke vremena na Windows sustavima.

Sljedeće su pogreške uobičajene zbog ovog tekućeg problema:

izbriši datoteku

• Zahtjev je prekinut: Stvaranje sigurnog SSL/TLS kanala nije uspjelo.
• Pogreška 0x8009030f
• Zabilježena je pogreška u zapisniku događaja sustava za događaj SCHANNEL 36887 s kodom upozorenja 20 i opisom: 'Primljeno je kritično upozorenje s udaljene krajnje točke. Kobni kod upozorenja po TLS protokolu - 20.? '

Koje su verzije sustava Windows sklone kvarovima TLS-a?

Ranjivost bi mogla dati napadaču priliku da pokrene napad čovjeka u sredini. To je popravljeno ažuriranjem i rezultiralo je greškama TLS-a i vremenskim ograničenjima na Windows sustavima.

Microsoft je primijetio da se to događa samo kada uređaji pokušaju uspostaviti TLS veze s uređajima koji ne podržavaju proširenje Extended Master Secret. Ako uređaji imaju podržanu verziju, to se ne događa. Ovo su trenutno pogođene verzije sustava Windows:

1. Windows 10 verzija 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Servisni paket 1 za Windows 7
8. Servisni paket 1 za Windows Server 2008 R2
9. Servisni paket 2 za Windows Server 2008

Popis ažuriranja sustava Windows pogođen sigurnosnim ažuriranjem

Svako najnovije kumulativno ažuriranje (LCU) ili mjesečna skupna ažuriranja objavljena 8. listopada 2019. ili nakon tog datuma za pogođene platforme mogu imati ovaj problem:

regdiff

1. KB4517389 LCU za Windows 10 verzija 1903.
2. KB4519338 LCU za Windows 10 verzija 1809 i Windows Server 2019.
3. KB4520008 LCU za Windows 10 verzija 1803.
4. KB4520004 LCU za Windows 10 verzija 1709.
5. KB4520010 LCU za Windows 10 verzija 1703.
6. KB4519998 LCU za Windows 10 verzija 1607 i Windows Server 2016.
7. KB4520011 LCU za Windows 10 verzija 1507.
8. KB4520005 Zbirno mjesečno ažuriranje za Windows 8.1 i Windows Server 2012 R2.
9. KB4520007 Zbirno mjesečno ažuriranje za Windows Server 2012.
10. KB4519976 Zbirno mjesečno ažuriranje za Windows 7 SP1 i Windows Server 2008 R2 SP1.
11. KB4520002 Zbirno mjesečno ažuriranje za Windows Server 2008 SP2
12. KB4519990 Samo sigurnosno ažuriranje za Windows 8.1 i Windows Server 2012 R2.
13. KB4519985 Sigurnosno ažuriranje samo za Windows Server 2012 i Windows Embedded 8 Standard.
14. KB4520003 Samo sigurnosno ažuriranje za Windows 7 SP1 i Windows Server 2008 R2 SP1
15. KB4520009 Samo sigurnosno ažuriranje za Windows Server 2008 SP2

Zaobilazna rješenja za kvarove TLS-a i isteke vremena u sustavu Windows

Prema Microsoftu, postoji tri načina da popravi TLS padove i isteke vremena.

1. Omogućite EMS i na klijentu i na poslužitelju
2. Izbrišite pakete šifri TLS_DHE_*
3. Omogućite/onemogućite EMS u sustavu Windows 10 / Windows Server

Imajte na umu da zaobilazna rješenja imaju nedostatke, posebno u smislu sigurnosti.

chkdsk pokreće svako pokretanje

1] Omogućite EMS i na klijentu i na poslužitelju

Kao što znamo, ako je EMS ugrađen s obje strane, onda nema problema, tako da je rješenje očito. Iako je EMS omogućen prema zadanim postavkama za sva izdanja nakon 8. listopada 2019., u suprotnom to osigurajte Omogućite podršku za proširenje Extend Master Secret (EMS).

Ako ste IT administrator, pobrinite se da podržavate obnovu EMS-a kako je definirano RFC 7627 potpuno.

2] Uklonite pakete šifri TLS_DHE_*

Ako operativni sustav ne podržava EMS, IT administrator mora ukloniti pakete šifri TLS_DHE_* s popisa paketa šifri na OS-u TLS klijentskog uređaja. Kompletna dokumentacija za Priority Schannel Cipher Suites dostupno.

Međutim, ovo je privremeno rješenje, a njihovo onemogućavanje samo znači da pozivate na napad čovjeka u sredini.

3] Omogućite/onemogućite EMS u sustavu Windows 10/Windows Server

Ako ste zbog problema s TLS-om onemogućili EMS na svom računalu, upotrijebite postavke registra na poslužitelju i klijentu da biste ga omogućili.

• otvoren Urednik registra
• Idite na HKLM System CurrentControlSet Control SecurityProviders Channel
  • TLS poslužiteljima: DisableServerExtendedMasterSecret: 0
  • Na TLS klijentu: DisableClientExtendedMasterSecret: 0

Ako nisu dostupni, možete ih izraditi.

Nadam se da su vam ova rješenja pomogla u privremenom rješavanju problema koji imate s TLS-om. Pratite ažuriranja koja će biti objavljena za rješavanje ovog problema.

dodavanje linije trenda u excel