Soluciones alternativas para fallas y tiempos de espera de TLS en sistemas Windows

Si tiene problemas con las fallas y los tiempos de espera de TLS en su sistema Windows, hay algunas cosas que puede hacer para solucionar el problema. Primero, intente aumentar el valor de tiempo de espera de TLS en su registro. Para hacer esto, abra el Editor del Registro (regedit.exe) y vaya a la siguiente clave: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiciosHTTPParámetros Luego, cree un nuevo valor DWORD llamado 'EnableTls11' y configúrelo en 1. Si eso no funciona, puede intentar deshabilitar TLS 1.0. Para hacer esto, abra el Editor del Registro y vaya a la siguiente clave: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolos Luego, cree un nuevo valor DWORD para cada uno de los siguientes protocolos y configúrelos en 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Finalmente, si todo lo demás falla, puede intentar reinstalar los controladores de su adaptador de red. Este suele ser el último recurso, pero a veces puede solucionar problemas con TLS. Si tiene problemas con las fallas y los tiempos de espera de TLS en su sistema Windows, hay algunas cosas que puede hacer para solucionar el problema. Primero, intente aumentar el valor de tiempo de espera de TLS en su registro. Para hacer esto, abra el Editor del Registro (regedit.exe) y vaya a la siguiente clave: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiciosHTTPParámetros Luego, cree un nuevo valor DWORD llamado 'EnableTls11' y configúrelo en 1. Si eso no funciona, puede intentar deshabilitar TLS 1.0. Para hacer esto, abra el Editor del Registro y vaya a la siguiente clave: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocolos Luego, cree un nuevo valor DWORD para cada uno de los siguientes protocolos y configúrelos en 0: PCT 1.0 SSL 2.0 SSL 3.0 TLS 1.0 Finalmente, si todo lo demás falla, puede intentar reinstalar los controladores de su adaptador de red. Este suele ser el último recurso, pero a veces puede solucionar problemas con TLS.

Estábamos hablando de Apretón de manos TLS y cómo puede fallar. También notamos que muchas fallas de TLS se debieron a que Microsoft intentó arreglar las cosas. La actualización de seguridad CVE-2019-1318 resultó en una reversión reciente para TLS y SSL. Esto provocó que las conexiones TLS fallaran de manera intermitente o tomaran mucho tiempo, lo que resultó en un tiempo de espera. En esta publicación, compartiremos soluciones para fallas de TLS y tiempos de espera en sistemas Windows.

Los siguientes errores son comunes debido a este problema continuo:

eliminar archivo powershell

• Se canceló la solicitud: no se pudo crear el canal seguro SSL/TLS.
• Error 0x8009030f
• Se registró un error en el registro de eventos del sistema para el evento SCHANNEL 36887 con el código de advertencia 20 y la descripción: 'Se recibió una advertencia crítica del extremo remoto. Código de advertencia fatal por protocolo TLS - 20.? '

¿Qué versiones de Windows son propensas a fallas de TLS?

La vulnerabilidad podría dar a un atacante la oportunidad de lanzar un ataque de intermediario. Esto se solucionó con una actualización y resultó en fallas de TLS y tiempos de espera en los sistemas Windows.

Microsoft señaló que esto solo sucede cuando los dispositivos intentan establecer conexiones TLS a dispositivos que no admiten la extensión Extended Master Secret. Si los dispositivos tienen una versión compatible, esto no sucede. Estas son las versiones de Windows actualmente afectadas:

1. Windows 10 versión 1607
2. Servidor Windows 2016
3. ventanas 10
4. Windows 8.1
5. Servidor Windows 2012 R2
6. Servidor Windows 2012
7. Paquete de servicio 1 para Windows 7
8. Paquete de servicio 1 para Windows Server 2008 R2
9. Service Pack 2 para Windows Server 2008

Lista de actualizaciones de Windows afectada debido a una actualización de seguridad

Cualquier última actualización acumulativa (LCU) o paquetes acumulativos mensuales publicados a partir del 8 de octubre de 2019 para las plataformas afectadas pueden experimentar este problema:

regdiff

1. KB4517389 LCU para Windows 10 versión 1903.
2. KB4519338 LCU para Windows 10 versión 1809 y Windows Server 2019.
3. KB4520008 LCU para Windows 10 versión 1803.
4. KB4520004 LCU para Windows 10 versión 1709.
5. KB4520010 LCU para Windows 10 versión 1703.
6. KB4519998 LCU para Windows 10 versión 1607 y Windows Server 2016.
7. KB4520011 LCU para Windows 10 versión 1507.
8. Paquete acumulativo de actualizaciones mensuales KB4520005 para Windows 8.1 y Windows Server 2012 R2.
9. Paquete acumulativo de actualizaciones mensuales KB4520007 para Windows Server 2012.
10. Paquete acumulativo de actualizaciones mensuales KB4519976 para Windows 7 SP1 y Windows Server 2008 R2 SP1.
11. Paquete acumulativo de actualizaciones mensuales KB4520002 para Windows Server 2008 SP2
12. KB4519990 Actualización solo de seguridad para Windows 8.1 y Windows Server 2012 R2.
13. KB4519985 Actualización de seguridad solo para Windows Server 2012 y Windows Embedded 8 Standard.
14. KB4520003 Actualización solo de seguridad para Windows 7 SP1 y Windows Server 2008 R2 SP1
15. KB4520009 Actualización solo de seguridad para Windows Server 2008 SP2

Soluciones alternativas para fallas y tiempos de espera de TLS en Windows

Según Microsoft, hay tres maneras para corregir fallas y tiempos de espera de TLS.

1. Habilite EMS tanto en el cliente como en el servidor
2. Eliminar conjuntos de cifrado TLS_DHE_*
3. Habilitar/deshabilitar EMS en Windows 10/Windows Server

Tenga en cuenta que las soluciones alternativas tienen inconvenientes, especialmente en términos de seguridad.

chkdsk ejecuta cada arranque

1] Habilite EMS tanto en el cliente como en el servidor

Como sabemos, si EMS está instalado en ambos lados, entonces no hay problema, por lo que la solución es obvia. Aunque EMS está habilitado de forma predeterminada para todas las versiones posteriores al 8 de octubre de 2019, asegúrese de que Habilite el soporte para la extensión Extend Master Secret (EMS).

Si es un administrador de TI, asegúrese de admitir la renovación de EMS como se define RFC 7627 completamente.

2] Eliminar conjuntos de cifrado TLS_DHE_*

Si el sistema operativo no es compatible con EMS, el administrador de TI debe eliminar los conjuntos de cifrado TLS_DHE_* de la lista de conjuntos de cifrado en el sistema operativo del dispositivo cliente TLS. Documentación completa para Conjuntos de cifrado de canal de prioridad disponible.

Sin embargo, esta es una solución temporal, y deshabilitarlos solo significa que está invitando a un ataque de intermediario.

3] Habilitar/Deshabilitar EMS en Windows 10/Windows Server

Si, debido a algún problema con TLS, ha deshabilitado EMS en su computadora, use la configuración de registro tanto en el servidor como en el cliente para habilitarlo.

• abierto Editor de registro
• Ir al sistema HKLM CurrentControlSet Control SecurityProviders Schannel
  • A servidores TLS: DisableServerExtendedMasterSecret: 0
  • En cliente TLS: DisableClientExtendedMasterSecret: 0

Si no están disponibles, puede crearlos.

Espero que estas soluciones hayan sido útiles para resolver temporalmente el problema que está experimentando con TLS. Estén atentos a las actualizaciones que se lanzarán para solucionar este problema.

agregar una línea de tendencia en Excel