Soluciones alternativas para fallas de TLS y tiempos de espera en sistemas Windows

Hemos hablado de laapretón de manos TLSy cómo puede fallar. También notamos que ocurrieron muchas fallas de TLS porque Microsoft intentó arreglar algo. Una actualización de seguridad CVE-2019-1318 ha provocado que la reciente se implemente para TLS y SSL. Esto ha provocado que las conexiones TLS fallen de forma intermitente o tarden mucho tiempo y provoquen un tiempo de espera. En esta publicación, compartiremos las soluciones para fallas y tiempos de espera de TLS en sistemas Windows.

Los siguientes errores son comunes debido a este problema continuo:

• La solicitud fue cancelada: no se pudo crear un canal seguro SSL/TLS
• Error 0x8009030f
• Se registró un error en el registro de eventos del sistema para el evento SCHANNEL 36887 con el código de alerta 20 y la descripción: "Se recibió una alerta fatal desde el punto final remoto. ¿El código de alerta fatal definido por el protocolo TLS es 20?"

¿Qué versiones de Windows se ven afectadas por fallas de TLS?

La vulnerabilidad puede darle al atacante la oportunidad de realizar un ataque de intermediario. Esto se solucionó con la actualización y provocó fallas de TLS y tiempos de espera en los sistemas Windows.

Microsoft señaló que solo ocurre cuando los dispositivos intentan realizar conexiones TLS a dispositivos sin soporte para la extensión Extended Master Secret. Si los dispositivos tienen la versión compatible, entonces no ocurre. Aquí está la lista de versiones de Windows afectadas a partir de ahora:

1. Windows 10 versión 1607
2. Servidor Windows 2016
3. ventanas 10
4. Ventanas 8.1
5. Servidor Windows 2012 R2
6. Servidor Windows 2012
7. Paquete de servicio 1 de Windows 7
8. Paquete de servicio 1 de Windows Server 2008 R2
9. Paquete de servicio 2 de Windows Server 2008

Lista de actualizaciones de Windows afectadas debido a la actualización de seguridad

Cualquier actualización acumulativa (LCU) o paquete acumulativo mensual publicado el 8 de octubre de 2019 o posterior para las plataformas afectadas puede experimentar este problema:

1. KB4517389 LCU para Windows 10, versión 1903.
2. KB4519338 LCU para Windows 10, versión 1809 y Windows Server 2019.
3. KB4520008 LCU para Windows 10, versión 1803.
4. KB4520004 LCU para Windows 10, versión 1709.
5. KB4520010 LCU para Windows 10, versión 1703.
6. KB4519998 LCU para Windows 10, versión 1607 y Windows Server 2016.
7. KB4520011 LCU para Windows 10, versión 1507.
8. Paquete acumulativo mensual KB4520005 para Windows 8.1 y Windows Server 2012 R2.
9. KB4520007 Paquete acumulativo mensual para Windows Server 2012.
10. KB4519976 Paquete acumulativo mensual para Windows 7 SP1 y Windows Server 2008 R2 SP1.
11. Paquete acumulativo mensual KB4520002 para Windows Server 2008 SP2
12. KB4519990 Actualización solo de seguridad para Windows 8.1 y Windows Server 2012 R2.
13. KB4519985 Actualización solo de seguridad para Windows Server 2012 y Windows Embedded 8 Standard.
14. KB4520003 Actualización de seguridad únicamente para Windows 7 SP1 y Windows Server 2008 R2 SP1
15. KB4520009 Actualización de seguridad únicamente para Windows Server 2008 SP2

Según Microsoft, existentres maneraspara corregir fallas y tiempos de espera de TLS.

1. Habilite EMS tanto en el cliente como en el servidor
2. Eliminar conjuntos de cifrado TLS_DHE_*
3. Activar/desactivar EMS en Windows 10/Windows Server

Tenga en cuenta que las soluciones alternativas tienen desventajas, especialmente desde la perspectiva de la seguridad.

1]Habilite EMS tanto en el cliente como en el servidor

Como sabemos, si ambas partes tienen instalado EMS, entonces el problema no ocurre, por lo que la solución es obvia. Si bien EMS se ha habilitado de forma predeterminada para cualquier versión posterior al 8 de octubre de 2019, de lo contrario, asegúrese deHabilite la compatibilidad con la extensión Extend Master Secret (EMS).

Si es administrador de TI, asegúrese de admitir la reanudación de EMS según lo definido porRFC 7627completamente.

2]Eliminar conjuntos de cifrado TLS_DHE_*

Si el sistema operativo no admite EMS, entonces el administrador de TI debe eliminar los conjuntos de cifrado TLS_DHE_* de la lista de conjuntos de cifrado en el sistema operativo del dispositivo cliente TLS. Documentación completa paraPriorizar las suites de cifrado Schannelestá disponible.

Dicho esto, se trata de una solución temporal y desactivarlas sólo significa que estás invitando a un ataque de intermediario.

3]Habilitar/deshabilitar EMS en Windows 10/Windows Server

Si, por cualquier problema de TLS, deshabilitó EMS en su computadora, utilice la configuración de registro tanto en el servidor como en el cliente para habilitarlo.

• Abierto
• Vaya a HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel
  • En el servidor TLS: DisableServerExtendedMasterSecret: 0
  • En cliente TLS: DisableClientExtendedMasterSecret: 0

Si no están disponibles, puedes crearlos.

Espero que estas soluciones hayan sido útiles para solucionar temporalmente el problema que enfrenta con TLS. Esté atento a las actualizaciones que se implementarán para solucionar este problema.

Leer:.