Giải pháp thay thế cho lỗi TLS và thời gian chờ trên hệ thống Windows

Nếu bạn gặp sự cố với lỗi TLS và hết thời gian chờ trên hệ thống Windows của mình, bạn có thể thực hiện một số việc để khắc phục sự cố. Trước tiên, hãy thử tăng giá trị thời gian chờ TLS trong sổ đăng ký của bạn. Để thực hiện việc này, hãy mở Registry Editor (regedit.exe) và truy cập khóa sau: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Sau đó, tạo một giá trị DWORD mới có tên 'EnableTls11' và đặt thành 1. Nếu cách đó không hiệu quả, bạn có thể thử tắt TLS 1.0. Để thực hiện việc này, hãy mở Registry Editor và truy cập khóa sau: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Sau đó, tạo một giá trị DWORD mới cho từng giao thức sau và đặt chúng thành 0: PCT 1.0 SSL2.0 SSL3.0 TLS 1.0 Cuối cùng, nếu vẫn thất bại, bạn có thể thử cài đặt lại trình điều khiển bộ điều hợp mạng của mình. Đây thường là giải pháp cuối cùng, nhưng đôi khi nó có thể khắc phục sự cố với TLS. Nếu bạn gặp sự cố với lỗi TLS và hết thời gian chờ trên hệ thống Windows của mình, bạn có thể thực hiện một số việc để khắc phục sự cố. Trước tiên, hãy thử tăng giá trị thời gian chờ TLS trong sổ đăng ký của bạn. Để thực hiện việc này, hãy mở Registry Editor (regedit.exe) và truy cập khóa sau: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesHTTPParameters Sau đó, tạo một giá trị DWORD mới có tên 'EnableTls11' và đặt thành 1. Nếu cách đó không hiệu quả, bạn có thể thử tắt TLS 1.0. Để thực hiện việc này, hãy mở Registry Editor và truy cập khóa sau: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersSCHANNELProtocols Sau đó, tạo một giá trị DWORD mới cho từng giao thức sau và đặt chúng thành 0: PCT 1.0 SSL2.0 SSL3.0 TLS 1.0 Cuối cùng, nếu vẫn thất bại, bạn có thể thử cài đặt lại trình điều khiển bộ điều hợp mạng của mình. Đây thường là giải pháp cuối cùng, nhưng đôi khi nó có thể khắc phục sự cố với TLS.

chúng tôi đã nói về bắt tay TLS , và làm thế nào nó có thể thất bại. Chúng tôi cũng lưu ý rằng rất nhiều lỗi TLS là do Microsoft đang cố gắng khắc phục sự cố. Bản cập nhật bảo mật CVE-2019-1318 đã dẫn đến việc khôi phục gần đây cho TLS và SSL. Điều này khiến các kết nối TLS liên tục bị lỗi hoặc mất nhiều thời gian dẫn đến thời gian chờ. Trong bài đăng này, chúng tôi sẽ chia sẻ các giải pháp thay thế cho lỗi TLS và thời gian chờ trên hệ thống Windows.

Giải pháp thay thế cho các lỗi TLS

Các lỗi sau là phổ biến do sự cố đang diễn ra này:

Yêu cầu đã bị hủy bỏ: Không thể tạo kênh bảo mật SSL/TLS.
Lỗi 0x8009030f
Lỗi đã được ghi vào nhật ký sự kiện hệ thống cho sự kiện SCHANNEL 36887 với mã cảnh báo 20 và mô tả: 'Đã nhận được cảnh báo nghiêm trọng từ điểm cuối từ xa. Mã cảnh báo nghiêm trọng bằng giao thức TLS - 20.? '

Những phiên bản Windows nào dễ bị lỗi TLS?

Lỗ hổng bảo mật có thể tạo cơ hội cho kẻ tấn công khởi động một cuộc tấn công trung gian. Điều này đã được khắc phục bằng một bản cập nhật và dẫn đến lỗi TLS và hết thời gian chờ trên hệ thống Windows.

Microsoft lưu ý rằng điều này chỉ xảy ra khi các thiết bị cố gắng thiết lập kết nối TLS với các thiết bị không hỗ trợ tiện ích mở rộng Extended Master Secret. Nếu thiết bị có phiên bản được hỗ trợ thì điều này không xảy ra. Dưới đây là các phiên bản Windows hiện đang bị ảnh hưởng:

Windows 10 phiên bản 1607
Windows Server 2016
cửa sổ 10
Windows 8.1
Windows Server 2012 R2
Windows Server 2012
Gói dịch vụ 1 cho Windows 7
Gói Dịch vụ 1 dành cho Windows Server 2008 R2
Gói dịch vụ 2 cho Windows Server 2008

Danh sách cập nhật Windows bị ảnh hưởng do cập nhật bảo mật

Mọi bản cập nhật tích lũy (LCU) hoặc bản tổng hợp hàng tháng mới nhất được phát hành vào hoặc sau ngày 8 tháng 10 năm 2019 cho các nền tảng bị ảnh hưởng đều có thể gặp sự cố này:

KB4517389 LCU dành cho Windows 10 phiên bản 1903.
KB4519338 LCU dành cho Windows 10 phiên bản 1809 và Windows Server 2019.
KB4520008 LCU dành cho Windows 10 phiên bản 1803.
KB4520004 LCU dành cho Windows 10 phiên bản 1709.
KB4520010 LCU dành cho Windows 10 phiên bản 1703.
KB4519998 LCU dành cho Windows 10 phiên bản 1607 và Windows Server 2016.
KB4520011 LCU dành cho Windows 10 phiên bản 1507.
KB4520005 Bản cập nhật hàng tháng dành cho Windows 8.1 và Windows Server 2012 R2.
KB4520007 Bản cập nhật hàng tháng cho Windows Server 2012.
KB4519976 Bản cập nhật hàng tháng cho Windows 7 SP1 và Windows Server 2008 R2 SP1.
KB4520002 Bản cập nhật hàng tháng cho Windows Server 2008 SP2
KB4519990 Bản cập nhật chỉ dành cho bảo mật dành cho Windows 8.1 và Windows Server 2012 R2.
KB4519985 Bản cập nhật bảo mật chỉ dành cho Windows Server 2012 và Windows Embedded 8 Standard.
KB4520003 Bản cập nhật chỉ dành cho bảo mật dành cho Windows 7 SP1 và Windows Server 2008 R2 SP1
KB4520009 Bản cập nhật chỉ dành cho bảo mật dành cho Windows Server 2008 SP2

Giải pháp thay thế cho lỗi TLS và thời gian chờ trên Windows

Theo Microsoft, có ba cách để khắc phục sự cố TLS và thời gian chờ.

Bật EMS trên cả máy khách và máy chủ
Xóa bộ mật mã TLS_DHE_*
Bật/tắt EMS trong Windows 10/Windows Server

Hãy nhớ rằng các giải pháp thay thế đều có nhược điểm, đặc biệt là về mặt bảo mật.

1] Bật EMS trên cả máy khách và máy chủ

Như chúng ta đã biết, nếu EMS được cài đặt ở cả hai bên thì không có vấn đề gì nên giải pháp là hiển nhiên. Mặc dù EMS được bật theo mặc định cho tất cả các bản phát hành sau ngày 8 tháng 10 năm 2019, nếu không, hãy đảm bảo rằng Bật hỗ trợ cho tiện ích mở rộng Mở rộng bí mật chính (EMS).

Nếu bạn là quản trị viên CNTT, vui lòng đảm bảo rằng bạn hỗ trợ gia hạn EMS như đã định RFC 7627 đầy đủ.

2] Xóa bộ mật mã TLS_DHE_*

Nếu hệ điều hành không hỗ trợ EMS, quản trị viên CNTT phải xóa bộ mật mã TLS_DHE_* khỏi danh sách bộ mật mã trên HĐH của thiết bị khách TLS. Hoàn thành tài liệu cho Bộ mật mã Schannel ưu tiên có sẵn.

Tuy nhiên, đây là cách khắc phục tạm thời và việc vô hiệu hóa chúng chỉ có nghĩa là bạn đang mời một cuộc tấn công trung gian.

cập nhật java có an toàn không

3] Bật/Tắt EMS trong Windows 10/Windows Server

Nếu do một số vấn đề với TLS, bạn đã tắt EMS trên máy tính của mình, hãy sử dụng cài đặt đăng ký trên cả máy chủ và máy khách để bật nó.

mở Trình chỉnh sửa sổ đăng ký
Chuyển đến Hệ thống HKLM CurrentControlSet Control SecurityProviders Schannel
- Đối với máy chủ TLS: DisableServerExtendedMasterSecret: 0
- Trên máy khách TLS: DisableClientExtendedMasterSecret: 0

Nếu chúng không có sẵn, bạn có thể tạo chúng.

Tải PC Repair Tool để nhanh chóng tìm và tự động sửa lỗi Windows

Tôi hy vọng những cách giải quyết này hữu ích trong việc giải quyết tạm thời sự cố mà bạn đang gặp phải với TLS. Hãy theo dõi các bản cập nhật sẽ được phát hành để giải quyết vấn đề này.