Soluções alternativas para falhas de TLS, tempos limite em sistemas Windows

Nós conversamos sobre o Handshake TLS, e como pode falhar. Também marcamos que muitas falhas de TLS aconteceram porque a Microsoft tentou consertar algo. Uma atualização de segurança CVE-2019-1318 fez com que a recente rolasse para TLS e SSL. Isso resultou em falhas intermitentes ou muito tempo nas conexões TLS, resultando em um tempo limite. Nesta postagem, compartilharemos as soluções alternativas para falhas e tempos limite de TLS em sistemas Windows.

Os erros a seguir são comuns devido a este problema contínuo:

• A solicitação foi abortada: não foi possível criar um canal seguro SSL / TLS
• Erro 0x8009030f
• Um erro registrado no Log de eventos do sistema para o evento SCHANNEL 36887 com o código de alerta 20 e a descrição, “Um alerta fatal foi recebido do endpoint remoto. O código de alerta fatal definido pelo protocolo TLS é 20.?”

Quais versões do Windows são afetadas por falhas de TLS?

A vulnerabilidade pode dar ao invasor a chance de realizar um ataque man-in-the-middle. Isso foi corrigido pela atualização e resultou em falhas de TLS, tempos limite em sistemas Windows.

A Microsoft apontou que isso só acontece quando os dispositivos estão tentando fazer conexões TLS com dispositivos sem suporte para a extensão Extended Master Secret. Se os dispositivos tiverem a versão compatível, isso não ocorrerá. Aqui estão as versões do Windows afetadas a partir de agora:

1. Windows 10 Versão 1607
2. Windows Server 2016
3. Windows 10
4. Windows 8.1
5. Windows Server 2012 R2
6. Windows Server 2012
7. Windows 7 Service Pack 1
8. Windows Server 2008 R2 Service Pack 1
9. Windows Server 2008 Service Pack 2

A lista de atualizações do Windows foi afetada por causa da atualização de segurança

Qualquer atualização cumulativa (LCU) ou Rollups mensais mais recentes lançados em 8 de outubro de 2019 ou posterior para as plataformas afetadas podem enfrentar este problema:

1. KB4517389 LCU para Windows 10, versão 1903.
2. KB4519338 LCU para Windows 10, versão 1809 e Windows Server 2019.
3. KB4520008 LCU para Windows 10, versão 1803.
4. KB4520004 LCU para Windows 10, versão 1709.
5. KB4520010 LCU para Windows 10, versão 1703.
6. KB4519998 LCU para Windows 10, versão 1607 e Windows Server 2016.
7. KB4520011 LCU para Windows 10, versão 1507.
8. KB4520005 Rollup Mensal para Windows 8.1 e Windows Server 2012 R2.
9. KB4520007 Rollup Mensal para Windows Server 2012.
10. KB4519976 Rollup mensal para Windows 7 SP1 e Windows Server 2008 R2 SP1.
11. KB4520002 Rollup Mensal para Windows Server 2008 SP2
12. KB4519990 Atualização apenas de segurança para Windows 8.1 e Windows Server 2012 R2.
13. KB4519985 Atualização apenas de segurança para Windows Server 2012 e Windows Embedded 8 Standard.
14. KB4520003 Atualização apenas de segurança para Windows 7 SP1 e Windows Server 2008 R2 SP1
15. KB4520009 Atualização somente de segurança para Windows Server 2008 SP2

Soluções alternativas para falhas de TLS e tempos limite no Windows

De acordo com a Microsoft, existem três maneiras de corrigir falhas e tempos limite de TLS.

1. Habilite o EMS no cliente e no servidor
2. Remova os conjuntos de criptografia TLS_DHE_ *
3. Ativar / desativar EMS no Windows 10 / Windows Server

Esteja ciente de que existem desvantagens nas soluções alternativas, especialmente do ponto de vista da segurança.

1] Ative o EMS no cliente e no servidor

Como sabemos que se ambos os lados têm EMS instalado, o problema não ocorre, então a solução é óbvia.  Embora o EMS tenha sido habilitado por padrão para qualquer versão após 8 de outubro de 2019, se não, certifique-se de Ativar suporte para extensão Extend Master Secret (EMS).

Se você for um administrador de TI, certifique-se de apoiar a retomada do EMS conforme definido pela RFC 7627 totalmente.

2] Remova os conjuntos de criptografia TLS_DHE_ *

Se o sistema operacional não for compatível com EMS, o administrador de TI precisará remover os conjuntos de criptografia TLS_DHE_ * da lista de conjuntos de criptografia no sistema operacional do dispositivo cliente TLS. A documentação completa para Prioritizing Schannel Cipher Suites está disponível.

Dito isso, essas são uma correção temporária e desativá-las significa apenas que você está convidando um ataque intermediário

3] Ativar / Desativar EMS no Windows 10 / Windows Server

Se, por qualquer problema de TLS, você desativou o EMS em seu computador, use as configurações de registro no servidor e no cliente para ativá-lo.

• Abra o Editor do Registro
• Navegue até HKLM \ System \ CurrentControlSet \ Control \ SecurityProviders \ Schannel
  • No servidor TLS: DisableServerExtendedMasterSecret: 0
  • No cliente TLS: DisableClientExtendedMasterSecret: 0

Se eles não estiverem disponíveis, você pode criá-los.

Espero que essas soluções alternativas tenham sido úteis para corrigir o problema que você está enfrentando temporariamente com o TLS. Fique de olho nas atualizações que serão lançadas para corrigir esse problema