Chúng tôi đã nói về TLS handshake (bắt tay TLS), và cách nó có thể thất bại. Chúng tôi cũng đã ghi nhận rằng nhiều lỗi TLS đã xảy ra vì Microsoft cố gắng sửa chữa điều gì đó. Bản cập nhật bảo mật CVE-2019-1318 gần đây cho TLS và SSL đã gây ra vấn đề. Nó dẫn đến kết nối TLS thất bại ngẫu nhiên hoặc mất nhiều thời gian và dẫn đến timeout. Trong bài viết này, chúng tôi sẽ chia sẻ các giải pháp thay thế cho TLS Failures và Timeouts trong hệ thống Windows.
Các lỗi sau thường gặp do vấn đề đang diễn ra này:
- The request was aborted: Could not create SSL/TLS secure Channel (Yêu cầu bị hủy: Không thể tạo kênh bảo mật SSL/TLS)
- Error 0x8009030f
- Lỗi ghi trong System Event Log cho SCHANNEL event 36887 với mã cảnh báo 20 và mô tả, "A fatal alert was received from the remote endpoint. The TLS protocol defined fatal alert code is 20.?" (Cảnh báo 치명적인 được nhận từ endpoint từ xa. Giao thức TLS định nghĩa mã cảnh báo fatal là 20.?)
Phiên bản Windows nào bị ảnh hưởng bởi TLS Failures?
Lỗ hổng này có thể cho kẻ tấn công cơ hội thực hiện tấn công man-in-the-middle (trung gian). Điều này được khắc phục bởi bản cập nhật, và nó dẫn đến TLS Failures, Timeouts trong hệ thống Windows.
Microsoft chỉ ra rằng nó chỉ xảy ra khi thiết bị cố gắng tạo kết nối TLS đến thiết bị không hỗ trợ mở rộng Extended Master Secret (EMS). Nếu thiết bị có phiên bản được hỗ trợ, thì nó không xảy ra. Đây là danh sách phiên bản Windows bị ảnh hưởng cho đến nay:
- Windows 10 Version 1607
- Windows Server 2016
- Windows 10
- Windows 8.1
- Windows Server 2012 R2
- Windows Server 2012
- Windows 7 Service Pack 1
- Windows Server 2008 R2 Service Pack 1
- Windows Server 2008 Service Pack 2
Danh sách Windows Updates bị ảnh hưởng do bản cập nhật bảo mật
Bất kỳ bản cập nhật tích lũy mới nhất (LCU) hoặc Monthly Rollups (Gói tích lũy hàng tháng) phát hành vào ngày 8 tháng 10 năm 2019 hoặc sau đó cho các nền tảng bị ảnh hưởng có thể gặp vấn đề này:
- KB4517389 LCU cho Windows 10, phiên bản 1903.
- KB4519338 LCU cho Windows 10, phiên bản 1809, và Windows Server 2019.
- KB4520008 LCU cho Windows 10, phiên bản 1803.
- KB4520004 LCU cho Windows 10, phiên bản 1709.
- KB4520010 LCU cho Windows 10, phiên bản 1703.
- KB4519998 LCU cho Windows 10, phiên bản 1607, và Windows Server 2016.
- KB4520011 LCU cho Windows 10, phiên bản 1507.
- KB4520005 Monthly Rollup cho Windows 8.1 và Windows Server 2012 R2.
- KB4520007 Monthly Rollup cho Windows Server 2012.
- KB4519976 Monthly Rollup cho Windows 7 SP1 và Windows Server 2008 R2 SP1.
- KB4520002 Monthly Rollup cho Windows Server 2008 SP2
- KB4519990 Security-only update cho Windows 8.1 và Windows Server 2012 R2.
- KB4519985 Security-only update cho Windows Server 2012 và Windows Embedded 8 Standard.
- KB4520003 Security-only update cho Windows 7 SP1 và Windows Server 2008 R2 SP1
- KB4520009 Security-only update cho Windows Server 2008 SP2
Giải pháp thay thế cho TLS Failures, Timeouts trong Windows
Theo Microsoft, có ba cách để khắc phục TLS failures và timeouts.
- Bật EMS trên cả client và server
- Xóa TLS_DHE_* cipher suites
- Bật/Tắt EMS trên Windows 10/Windows Server
Hãy nhận thức rằng có nhược điểm cho các giải pháp thay thế, đặc biệt từ góc độ bảo mật.
1] Bật EMS trên cả client và server
Chúng ta biết nếu cả hai phía có EMS cài đặt, thì vấn đề không xảy ra, nên giải pháp hiển nhiên. Mặc dù EMS đã được bật theo mặc định cho bất kỳ bản phát hành nào sau ngày 8 tháng 10 năm 2019, nếu không, hãy chắc chắn Bật hỗ trợ cho mở rộng Extend Master Secret (EMS).
Nếu bạn là IT admin, hãy chắc chắn hỗ trợ EMS resumption như được định nghĩa bởi RFC 7627 hoàn toàn.
2] Xóa TLS_DHE_* cipher suites
Nếu hệ điều hành không hỗ trợ EMS, thì IT admin cần xóa TLS_DHE_* cipher suites từ danh sách cipher suite trong OS của thiết bị TLS client. Tài liệu hoàn chỉnh cho Prioritizing Schannel Cipher Suites (Ưu tiên Schannel Cipher Suites) có sẵn.
Đó nói, đây là bản sửa tạm thời, và vô hiệu hóa chúng chỉ có nghĩa là bạn mời tấn công man-in-the-middle.
3] Bật/Tắt EMS trên Windows 10/Windows Server
Nếu, vì bất kỳ vấn đề TLS nào, bạn đã tắt EMS trên máy tính của mình, thì hãy dùng cài đặt registry trên cả server và client để bật nó.
- Mở Registry Editor
- Điều hướng đến HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel
- Trên TLS Server: DisableServerExtendedMasterSecret: 0
- Trên TLS Client: DisableClientExtendedMasterSecret: 0
Nếu chúng không có sẵn, bạn có thể tạo chúng.
Tôi hy vọng các giải pháp thay thế này hữu ích để khắc phục vấn đề bạn gặp với TLS tạm thời. Hãy theo dõi các bản cập nhật sẽ tung ra để khắc phục vấn đề này.