Soluții pentru eșecurile TLS și timeout-uri pe sistemele Windows

Dacă întâmpinați probleme cu eșecurile și expirările TLS pe ​​sistemul dvs. Windows, există câteva lucruri pe care le puteți face pentru a rezolva problema. În primul rând, încercați să creșteți valoarea timeout TLS din registry. Pentru a face acest lucru, deschideți Editorul Registrului (regedit.exe) și accesați următoarea cheie: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Apoi, creați o nouă valoare DWORD numită „EnableTls11” și setați-o la 1. Dacă acest lucru nu funcționează, puteți încerca să dezactivați TLS 1.0. Pentru a face acest lucru, deschideți Editorul Registrului și accesați următoarea cheie: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSHANNELProtocols Apoi, creați o nouă valoare DWORD pentru fiecare dintre următoarele protocoale și setați-le la 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 În cele din urmă, dacă toate celelalte nu reușesc, puteți încerca să reinstalați driverele adaptorului de rețea. Aceasta este de obicei o ultimă soluție, dar uneori poate rezolva problemele cu TLS. Dacă întâmpinați probleme cu eșecurile și expirările TLS pe ​​sistemul dvs. Windows, există câteva lucruri pe care le puteți face pentru a rezolva problema. În primul rând, încercați să creșteți valoarea timeout TLS din registry. Pentru a face acest lucru, deschideți Editorul Registrului (regedit.exe) și accesați următoarea cheie: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Apoi, creați o nouă valoare DWORD numită „EnableTls11” și setați-o la 1. Dacă acest lucru nu funcționează, puteți încerca să dezactivați TLS 1.0. Pentru a face acest lucru, deschideți Editorul Registrului și accesați următoarea cheie: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSHANNELProtocols Apoi, creați o nouă valoare DWORD pentru fiecare dintre următoarele protocoale și setați-le la 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 În cele din urmă, dacă toate celelalte nu reușesc, puteți încerca să reinstalați driverele adaptorului de rețea. Aceasta este de obicei o ultimă soluție, dar uneori poate rezolva problemele cu TLS.

Vorbeam despre Strângere de mână TLS și cum poate eșua. Am observat, de asemenea, că o mulțime de eșecuri TLS s-au datorat că Microsoft a încercat să remedieze lucrurile. Actualizarea de securitate CVE-2019-1318 a dus la o revenire recentă pentru TLS și SSL. Acest lucru a făcut ca conexiunile TLS să eșueze intermitent sau să dureze mult timp, ceea ce a dus la un timeout. În această postare, vom împărtăși soluții pentru eșecurile TLS și timeout-uri pe sistemele Windows.

Următoarele erori sunt frecvente din cauza acestei probleme în curs:

• Solicitarea a fost anulată: nu s-a putut crea canalul securizat SSL/TLS.
• Eroare 0x8009030f
• A fost înregistrată o eroare în jurnalul de evenimente de sistem pentru evenimentul SCHANNEL 36887 cu codul de avertizare 20 și descrierea: „Un avertisment critic a fost primit de la punctul final la distanță. Cod de avertizare fatală prin protocolul TLS - 20.? '

Ce versiuni de Windows sunt predispuse la erori TLS?

Vulnerabilitatea ar putea oferi unui atacator șansa de a lansa un atac de tip om-in-the-middle. Acest lucru a fost remediat printr-o actualizare și a dus la eșecuri TLS și timeout-uri pe sistemele Windows.

Microsoft a remarcat că acest lucru se întâmplă numai atunci când dispozitivele încearcă să stabilească conexiuni TLS la dispozitive care nu acceptă extensia Extended Master Secret. Dacă dispozitivele au o versiune acceptată, atunci acest lucru nu se întâmplă. Iată versiunile Windows afectate în prezent:

1. Windows 10 versiunea 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Service Pack 1 pentru Windows 7
8. Service Pack 1 pentru Windows Server 2008 R2
9. Service Pack 2 pentru Windows Server 2008

Lista de actualizări Windows afectată din cauza actualizării de securitate

Orice cea mai recentă actualizare cumulativă (LCU) sau pachete lunare lansate în sau după 8 octombrie 2019 pentru platformele afectate pot întâmpina această problemă:

1. KB4517389 LCU pentru Windows 10 versiunea 1903.
2. KB4519338 LCU pentru Windows 10 versiunea 1809 și Windows Server 2019.
3. KB4520008 LCU pentru Windows 10 versiunea 1803.
4. KB4520004 LCU pentru Windows 10 versiunea 1709.
5. KB4520010 LCU pentru Windows 10 versiunea 1703.
6. KB4519998 LCU pentru Windows 10 versiunea 1607 și Windows Server 2016.
7. KB4520011 LCU pentru Windows 10 versiunea 1507.
8. KB4520005 Pachetul de actualizări lunare pentru Windows 8.1 și Windows Server 2012 R2.
9. KB4520007 Pachetul de actualizări lunare pentru Windows Server 2012.
10. KB4519976 Pachetul de actualizări lunare pentru Windows 7 SP1 și Windows Server 2008 R2 SP1.
11. KB4520002 Pachetul de actualizări lunare pentru Windows Server 2008 SP2
12. KB4519990 Actualizare numai de securitate pentru Windows 8.1 și Windows Server 2012 R2.
13. KB4519985 Actualizare de securitate numai pentru Windows Server 2012 și Windows Embedded 8 Standard.
14. KB4520003 Actualizare numai de securitate pentru Windows 7 SP1 și Windows Server 2008 R2 SP1
15. KB4520009 Actualizare numai de securitate pentru Windows Server 2008 SP2

Soluții pentru eșecurile TLS și timeout-uri pe Windows

Potrivit Microsoft, acolo trei moduri pentru a remedia blocările și timeout-urile TLS.

1. Activați EMS atât pe client, cât și pe server
2. Ștergeți suitele de criptare TLS_DHE_*
3. Activați / dezactivați EMS în Windows 10 / Windows Server

Rețineți că soluțiile au dezavantaje, în special în ceea ce privește securitatea.

1] Activați EMS atât pe client, cât și pe server

După cum știm, dacă EMS este instalat pe ambele părți, atunci nu există nicio problemă, deci soluția este evidentă. Deși EMS este activat în mod implicit pentru toate versiunile după 8 octombrie 2019, în caz contrar asigurați-vă că Activați suportul pentru extensia Extend Master Secret (EMS).

Dacă sunteți administrator IT, asigurați-vă că acceptați reînnoirea EMS așa cum este definit RFC 7627 complet.

2] Eliminați suitele de criptare TLS_DHE_*

Dacă sistemul de operare nu acceptă EMS, administratorul IT trebuie să elimine suitele de criptare TLS_DHE_* din lista de suite de criptare de pe sistemul de operare al dispozitivului client TLS. Documentatie completa pt Suite prioritare Schannel Cipher disponibil.

Cu toate acestea, aceasta este o soluție temporară, iar dezactivarea lor înseamnă doar că inviți un atac de tip om-in-the-middle.

e101 xbox one

3] Activați/dezactivați EMS în Windows 10/Windows Server

Dacă, din cauza unei probleme cu TLS, ați dezactivat EMS pe computer, utilizați setările de registry atât pe server, cât și pe client pentru a-l activa.

• deschis Editorul Registrului
• Accesați HKLM System CurrentControlSet Control SecurityProviders Schannel
  • Pentru serverele TLS: DisableServerExtendedMasterSecret: 0
  • Pe clientul TLS: DisableClientExtendedMasterSecret: 0

Dacă nu sunt disponibile, le puteți crea.

Sper că aceste soluții au fost utile în rezolvarea temporară a problemei pe care o întâmpinați cu TLS. Rămâneți la curent cu actualizările care vor fi lansate pentru a rezolva această problemă.