Решења за неуспехе ТЛС-а, истек времена у Виндовс системима

Разговарали смо о ТЛС руковање, и како може пропасти. Такође смо приметили да се догодило много грешака у ТЛС-у јер је Мицрософт покушао нешто да поправи. Безбедносно ажурирани ЦВЕ-2019-1318 проузроковао је недавни уведени за ТЛС и ССЛ. Довело је до тога да ТЛС везе повремено пропадају или дуго трају и резултира тимеоут-ом. У овом посту ћемо поделити заобилазна решења за ТЛС кварове и временска ограничења у Виндовс системима.

Следеће грешке су уобичајене због овог текућег проблема:

• Захтев је прекинут: Није могуће створити ССЛ / ТЛС заштићени канал
• Грешка 0к8009030ф
• Грешка забележена у системском дневнику догађаја за СЦХАННЕЛ догађај 36887 са кодом упозорења 20 и описом „Примљено је фатално упозорење са удаљене крајње тачке. Код фаталног упозорења дефинисан протоколом ТЛС је 20.?”

На које верзије оперативног система Виндовс утичу ТЛС откази?

Рањивост може дати нападачу шансу да изврши напад "човек у средини". Ово је исправљено исправком и резултирало је ТЛС кваровима, временским ограничењима у Виндовс системима.

Мицрософт је истакао да се то дешава само када уређаји покушавају да успоставе ТЛС везе са уређајима без подршке за проширење Ектендед Мастер Сецрет. Ако уређаји имају подржану верзију, она се не појављује. Ево верзија оперативног система Виндовс на које сада утиче:

1. Виндовс 10 верзија 1607
2. Виндовс Сервер 2016
3. Виндовс 10
4. Виндовс 8.1
5. Виндовс Сервер 2012 Р2
6. Виндовс Сервер 2012
7. Виндовс 7 сервисни пакет 1
8. Виндовс Сервер 2008 Р2 сервисни пакет 1
9. Виндовс Сервер 2008 сервисни пакет 2

Листа ажурирања за Виндовс је погођена због безбедносне исправке

Свако најновије кумулативно ажурирање (ЛЦУ) или месечни скупни извештаји објављени 8. октобра 2019. или касније за погођене платформе могу да имају овај проблем:

1. КБ4517389 ЛЦУ за Виндовс 10, верзија 1903.
2. КБ4519338 ЛЦУ за Виндовс 10, верзија 1809 и Виндовс Сервер 2019.
3. КБ4520008 ЛЦУ за Виндовс 10, верзија 1803.
4. КБ4520004 ЛЦУ за Виндовс 10, верзија 1709.
5. КБ4520010 ЛЦУ за Виндовс 10, верзија 1703.
6. КБ4519998 ЛЦУ за Виндовс 10, верзија 1607 и Виндовс Сервер 2016.
7. КБ4520011 ЛЦУ за Виндовс 10, верзија 1507.
8. КБ4520005 Месечни збирни пакет за Виндовс 8.1 и Виндовс Сервер 2012 Р2.
9. КБ4520007 Месечни збирни пакет за Виндовс Сервер 2012.
10. КБ4519976 Месечни збирни пакет за Виндовс 7 СП1 и Виндовс Сервер 2008 Р2 СП1.
11. КБ4520002 Месечни збирни пакет за Виндовс Сервер 2008 СП2
12. КБ4519990 Безбедносно ажурирање само за Виндовс 8.1 и Виндовс Сервер 2012 Р2.
13. КБ4519985 Безбедносно ажурирање само за Виндовс Сервер 2012 и Виндовс Ембеддед 8 Стандард.
14. КБ4520003 Безбедносно ажурирање за Виндовс 7 СП1 и Виндовс Сервер 2008 Р2 СП1
15. КБ4520009 Безбедносно ажурирање за Виндовс Сервер 2008 СП2

Решења за неуспехе ТЛС-а, временска ограничења у оперативном систему Виндовс

Према Мицрософту, постоје три начина да се поправе грешке и временска ограничења ТЛС-а.

1. Омогућите ЕМС и на клијенту и на серверу
2. Уклоните ТЛС_ДХЕ_ * пакете шифри
3. Омогућите / онемогућите ЕМС на Виндовс 10 / Виндовс Сервер

Имајте на уму да постоје заобилазна решења, посебно из безбедносне перспективе.

1] Омогућите ЕМС и на клијенту и на серверу

Као што знамо да ако обе стране имају инсталиран ЕМС, проблем се не јавља, па је решење очигледно.  Иако је ЕМС подразумевано омогућен за било које издање после 8. октобра 2019., ако не, уверите се Омогућите подршку за проширење Ектендер Мастер Сецрет (ЕМС).

Ако сте ИТ администратор, обавезно у потпуности подржите наставак ЕМС-а како је дефинисано у РФЦ 7627.

2] Уклоните ТЛС_ДХЕ_ * пакете шифри

Ако оперативни систем не подржава ЕМС, тада ИТ администратор треба да уклони пакете шифре ТЛС_ДХЕ_ * са листе пакета шифара у ОС-у клијентског уређаја ТЛС. Доступна је комплетна документација за давање приоритета Сцханнел Ципхер Суитес.

Међутим, ово су привремени поправак, а њихово онемогућавање само значи да позивате напад „човјек у средини“

3] Омогућите / онемогућите ЕМС на Виндовс 10 / Виндовс Сервер

Ако сте за било који проблем са ТЛС-ом онемогућили ЕМС на рачунару, онда користите поставке регистра и на серверу и на клијенту да бисте га омогућили.

• Отворите уређивач регистра
• Дођите до ХКЛМ \ Систем \ ЦуррентЦонтролСет \ Цонтрол \ СецуритиПровидерс \ Сцханнел
  • На ТЛС серверу: ДисаблеСерверЕктендедМастерСецрет: 0
  • На ТЛС клијенту: ДисаблеЦлиентЕктендедМастерСецрет: 0

Ако нису доступни, можете их креирати.

Надам се да су ова заобилазна решења била корисна за привремено решавање проблема са којим сте суочени са ТЛС-ом. Припазите на исправке које ће се појавити како би решиле овај проблем