微軟警告：Schannel安全更新有漏洞 解決方法為卸載4個加密系
責編：admin ｜2014-11-19 07:31:05微軟在知識文庫里針對上周的MS14-066更新發出警告。微軟還提供了一個解決問題的方法，微軟不建議用戶避免或卸載MS14-066更新。
MS14-066更新修復Schannel中至少一個嚴重漏洞。Schannel是微軟版SSL/ TLS加密套件。坊間廣泛認為MS14-066更新十分重要。筆者上周敦促過用戶盡早安裝MS14-066更新。
而有些用戶在安裝MS14-066更新時碰到嚴重問題。其問題是系統在默認情況下會啟用TLS 1.2，進而導致TLS協議的協商失敗。根據微軟的資料，發生這種情況時，“TLS 1.2連接會掉線，相關程序的過程會掛起（停止響應），服務或會間歇性地無反應。”系統事件日志里可能出現一條記錄，事件ID為36887，其描述為“從遠程端點接收了一個致命的警報。TLS協議中定義的致命警報代碼為40。”
MS14-066更新中除了包括安全更新外，還加入了一些新的功能：TLS用的四個加密系統。這些加密系統是問題的原因所在。要解決問題，做法是刪除四個新加密系統：
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
TLS_RSA_WITH_AES_256_GCM_SHA384
TLS_RSA_WITH_AES_128_GCM_SHA256
至于刪除的具體步驟，請參閱知識庫文章。
有關MS14-066更新目前還有很多不清楚的地方。微軟和其他處于特別位置的人士提供了各種說明，稱該更新修復了一個漏洞或幾個漏洞，一說漏洞是由外界向微軟報告的，也有說漏洞是通過內部測試發現的。另外，安全公告里亦無提供太詳細的東西，只是說不存在減緩因素（Mitigating factor）。
筆者謹向SANS研究所的互聯網風暴中心致意。