Løsninger for TLS-feil, tidsavbrudd i Windows-systemer

Vi har snakket om TLS håndtrykk, og hvordan det kan mislykkes. Vi markerte også at mange TLS-feil hadde skjedd fordi Microsoft prøvde å fikse noe. En sikkerhetsoppdatert CVE-2019-1318 har forårsaket den siste rullet for TLS og SSL. Det har resultert i at TLS-forbindelser periodevis mislykkes eller tar lang tid og resulterer i en timeout. I dette innlegget vil vi dele løsningene for TLS-feil og tidsavbrudd i Windows-systemer.

Følgende feil er vanlige på grunn av dette pågående problemet:

• Forespørselen ble avbrutt: Kunne ikke opprette SSL / TLS sikker kanal
• Feil 0x8009030f
• En feil logget i systemhendelsesloggen for SCHANNEL-hendelse 36887 med varslingskode 20 og beskrivelsen, “Det ble mottatt et dødelig varsel fra det eksterne endepunktet. TLS-protokolldefinert dødelig varslingskode er 20.?”

Hvilke versjoner av Windows er berørt av TLS-feil?

Sårbarheten kan gi angriperen en sjanse til å utføre et mann-i-midten-angrep. Dette ble løst ved oppdateringen, og det resulterte i TLS-feil, tidsavbrudd i Windows-systemer.

Microsoft påpekte at det bare skjer når enhetene prøver å lage TLS-tilkoblinger til enheter uten støtte for Extended Master Secret-utvidelsen. Hvis enhetene har den støttede versjonen, skjer det ikke. Her er de av Windows-versjonene som er berørt per nå:

1. Windows 10 versjon 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Windows 7 Service Pack 1
8. Windows Server 2008 R2 Service Pack 1
9. Windows Server 2008 Service Pack 2

Liste over Windows-oppdateringer påvirkes av sikkerhetsoppdateringen

Enhver siste kumulative oppdatering (LCU) eller månedlig samleoppdatering som ble utgitt 8. oktober 2019 eller senere for de berørte plattformene, kan oppleve dette problemet:

1. KB4517389 LCU for Windows 10, versjon 1903.
2. KB4519338 LCU for Windows 10, versjon 1809 og Windows Server 2019.
3. KB4520008 LCU for Windows 10, versjon 1803.
4. KB4520004 LCU for Windows 10, versjon 1709.
5. KB4520010 LCU for Windows 10, versjon 1703.
6. KB4519998 LCU for Windows 10, versjon 1607 og Windows Server 2016.
7. KB4520011 LCU for Windows 10, versjon 1507.
8. KB4520005 månedlig samleoppdatering for Windows 8.1 og Windows Server 2012 R2.
9. KB4520007 Månedlig samleoppdatering for Windows Server 2012.
10. KB4519976 Månedlig samleoppdatering for Windows 7 SP1 og Windows Server 2008 R2 SP1.
11. KB4520002 Månedlig samleoppdatering for Windows Server 2008 SP2
12. KB4519990 sikkerhetsoppdatering for Windows 8.1 og Windows Server 2012 R2.
13. KB4519985 bare sikkerhetsoppdatering for Windows Server 2012 og Windows Embedded 8 Standard.
14. KB4520003 sikkerhetsoppdatering for Windows 7 SP1 og Windows Server 2008 R2 SP1
15. KB4520009 sikkerhetsoppdatering for Windows Server 2008 SP2

Løsninger for TLS-feil, tidsavbrudd i Windows

I følge Microsoft er det tre måter å fikse TLS-feil og tidsavbrudd.

1. Aktiver EMS på både klient og server
2. Fjern TLS_DHE_ * krypteringsserier
3. Aktiver / deaktiver EMS på Windows 10 / Windows Server

Vær oppmerksom på at det er ulemper med løsningene, spesielt fra sikkerhetsperspektivet.

1] Aktiver EMS på både klient og server

Som vi vet at hvis begge sider har EMS installert, oppstår problemet ikke, så løsningen er åpenbar.  Mens EMS er aktivert som standard for enhver utgivelse etter 8. oktober 2019, hvis ikke, sørg for å Aktiver støtte for Extend Master Secret (EMS) -utvidelse.

Hvis du er IT-administrator, må du sørge for å støtte EMS-gjenopptakelse som definert av RFC 7627 fullt ut.

2] Fjern TLS_DHE_ * krypteringsserier

Hvis operativsystemet ikke støtter EMS, må IT-administratoren fjerne TLS_DHE_ * krypteringsserier fra krypteringsliste i operativsystemet til TLS-klientenheten. Komplett dokumentasjon for prioritering av Schannel Cipher Suites er tilgjengelig.

Når det er sagt, er dette en midlertidig løsning, og deaktivering av dem betyr bare at du inviterer et mann-i-midten-angrep

3] Aktiver / deaktiver EMS på Windows 10 / Windows Server

Hvis du for et TLS-problem hadde deaktivert EMS på datamaskinen din, så bruk registerinnstillingene på både server og klient for å aktivere det.

• Åpne Registerredigering
• Naviger til HKLM \ System \ CurrentControlSet \ Control \ SecurityProviders \ Schannel
  • På TLS-server: DisableServerExtendedMasterSecret: 0
  • På TLS-klient: DisableClientExtendedMasterSecret: 0

Hvis de ikke er tilgjengelige, kan du opprette dem.

Jeg håper disse løsningene var nyttige for å løse problemet du står overfor med TLS midlertidig. Hold øye med oppdateringer som vil lanseres for å løse dette problemet