विंडोज सिस्टम में TLS विफलताओं, टाइमआउट के लिए समाधान

हमने TLS हैंडशेक के बारे में बात की है, और यह कैसे विफल हो सकता है। हमने यह भी चिह्नित किया कि बहुत सारी TLS विफलताएं हुईं क्योंकि माइक्रोसॉफ्ट ने कुछ ठीक करने की कोशिश की। एक सुरक्षा अद्यतन CVE-2019-1318 ने TLS और SSL के लिए हालिया रोल किया है। इसके परिणामस्वरूप TLS कनेक्शन आंतरायिक रूप से विफल हो रहे हैं या लंबा समय ले रहे हैं और टाइमआउट में परिणाम दे रहे हैं। इस पोस्ट में, हम विंडोज सिस्टम में TLS विफलताओं और टाइमआउट के लिए समाधान साझा करेंगे।

इस चल रही समस्या के कारण निम्नलिखित त्रुटियां आम हैं:

• अनुरोध निरस्त: SSL/TLS सुरक्षित चैनल नहीं बना सका
• त्रुटि 0x8009030f
• SCHANNEL इवेंट 36887 के लिए सिस्टम इवेंट लॉग में लॉग की गई एक त्रुटि अलर्ट कोड 20 और विवरण के साथ, "रिमोट एंडपॉइंट से एक घातक अलर्ट प्राप्त हुआ था। TLS प्रोटोकॉल परिभाषित घातक अलर्ट कोड 20 है?"

TLS विफलताओं से विंडोज के कौन से संस्करण प्रभावित हैं?

भेद्यता हमलावर को मैन-इन-द-मिडल हमला करने का मौका दे सकती है। इसे अपडेट द्वारा ठीक किया गया था, और इसके परिणामस्वरूप विंडोज सिस्टम में TLS विफलताएं, टाइमआउट हुए।

माइक्रोसॉफ्ट ने बताया कि यह केवल तब होता है जब डिवाइस एक्सटेंडेड मास्टर सीक्रेट एक्सटेंशन के लिए समर्थन के बिना डिवाइस से TLS कनेक्शन बनाने का प्रयास कर रहे हैं। यदि डिवाइस में समर्थित संस्करण है, तो यह नहीं होता है। यहां अब तक प्रभावित विंडोज संस्करणों की सूची है:

1. विंडोज 10 संस्करण 1607
2. विंडोज सर्वर 2016
3. विंडोज 10
4. विंडोज 8.1
5. विंडोज सर्वर 2012 R2
6. विंडोज सर्वर 2012
7. विंडोज 7 सर्विस पैक 1
8. विंडोज सर्वर 2008 R2 सर्विस पैक 1
9. विंडोज सर्वर 2008 सर्विस पैक 2

सुरक्षा अद्यतन के कारण प्रभावित विंडोज अपडेट की सूची

8 अक्टूबर, 2019 को या उसके बाद जारी कोई भी नवीनतम संचयी अद्यतन (LCU) या मासिक रोलअप प्रभावित प्लेटफॉर्म के लिए इस मुद्दे का अनुभव कर सकते हैं:

1. KB4517389 विंडोज 10, संस्करण 1903 के लिए LCU।
2. KB4519338 विंडोज 10, संस्करण 1809, और विंडोज सर्वर 2019 के लिए LCU।
3. KB4520008 विंडोज 10, संस्करण 1803 के लिए LCU।
4. KB4520004 विंडोज 10, संस्करण 1709 के लिए LCU।
5. KB4520010 विंडोज 10, संस्करण 1703 के लिए LCU।
6. KB4519998 विंडोज 10, संस्करण 1607, और विंडोज सर्वर 2016 के लिए LCU।
7. KB4520011 विंडोज 10, संस्करण 1507 के लिए LCU।
8. KB4520005 विंडोज 8.1 और विंडोज सर्वर 2012 R2 के लिए मासिक रोलअप।
9. KB4520007 विंडोज सर्वर 2012 के लिए मासिक रोलअप।
10. KB4519976 विंडोज 7 SP1 और विंडोज सर्वर 2008 R2 SP1 के लिए मासिक रोलअप।
11. KB4520002 विंडोज सर्वर 2008 SP2 के लिए मासिक रोलअप।
12. KB4519990 विंडोज 8.1 और विंडोज सर्वर 2012 R2 के लिए सुरक्षा-केवल अद्यतन।
13. KB4519985 विंडोज सर्वर 2012 और विंडोज एम्बेडेड 8 स्टैंडर्ड के लिए सुरक्षा-केवल अद्यतन।
14. KB4520003 विंडोज 7 SP1 और विंडोज सर्वर 2008 R2 SP1 के लिए सुरक्षा-केवल अद्यतन।
15. KB4520009 विंडोज सर्वर 2008 SP2 के लिए सुरक्षा-केवल अद्यतन।

विंडोज में TLS विफलताओं, टाइमआउट के लिए समाधान

माइक्रोसॉफ्ट के अनुसार, TLS विफलताओं और टाइमआउट को ठीक करने के तीन तरीके हैं।

1. क्लाइंट और सर्वर दोनों पर EMS सक्षम करें
2. TLS_DHE_* सिफर सूट हटाएं
3. विंडोज 10/विंडोज सर्वर पर EMS सक्षम/अक्षम करें

ध्यान रखें कि समाधानों में कमियां हैं, विशेष रूप से सुरक्षा के दृष्टिकोण से।

1] क्लाइंट और सर्वर दोनों पर EMS सक्षम करें

जैसा कि हम जानते हैं कि यदि दोनों तरफ EMS इंस्टॉल है, तो मुद्दा नहीं होता, इसलिए समाधान स्पष्ट है। जबकि EMS 8 अक्टूबर, 2019 के बाद किसी भी रिलीज के लिए डिफ़ॉल्ट रूप से सक्षम है, यदि नहीं, तो एक्सटेंडेड मास्टर सीक्रेट (EMS) एक्सटेंशन के लिए समर्थन सक्षम करें।

यदि आप एक IT एडमिन हैं, तो RFC 7627 द्वारा परिभाषित EMS रिज्यूमेशन का पूरी तरह से समर्थन करना सुनिश्चित करें।

2] TLS_DHE_* सिफर सूट हटाएं

यदि ऑपरेटिंग सिस्टम EMS का समर्थन नहीं करता है, तो IT एडमिन को TLS क्लाइंट डिवाइस के OS में सिफर सूट सूची से TLS_DHE_* सिफर सूट को हटाने की आवश्यकता है। स्कैनल सिफर सूट प्राथमिकता के लिए पूर्ण दस्तावेज़ीकरण उपलब्ध है।

कहा जाता है कि ये एक अस्थायी फिक्स हैं, और उन्हें अक्षम करने का मतलब केवल आप मैन-इन-द-मिडल-अटैक को आमंत्रित कर रहे हैं।

3] विंडोज 10/विंडोज सर्वर पर EMS सक्षम/अक्षम करें

यदि, किसी TLS मुद्दे के लिए, आपने अपने कंप्यूटर पर EMS अक्षम किया था, तो सर्वर और क्लाइंट दोनों पर रजिस्ट्री सेटिंग्स का उपयोग करके इसे सक्षम करें।

• रजिस्ट्री संपादक खोलें
• HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel पर नेविगेट करें
  • TLS सर्वर पर: DisableServerExtendedMasterSecret: 0
  • TLS क्लाइंट पर: DisableClientExtendedMasterSecret: 0

यदि वे उपलब्ध नहीं हैं, तो आप उन्हें बना सकते हैं।

मुझे उम्मीद है कि ये समाधान आपके द्वारा TLS के साथ सामना की जा रही समस्या को अस्थायी रूप से ठीक करने के लिए उपयोगी थे। इस समस्या को ठीक करने वाले अपडेट पर नज़र रखें।