Microsoft Security Advisory 3009008

  • 發行項

SSL 3.0 中的弱點可能會允許資訊洩漏

發佈時間： 2014 年 10 月 14 日 |更新日期：2015年4月14日

版本： 3.0

一般資訊

執行摘要

Microsoft 知道已發佈的詳細資訊，說明利用 SSL 3.0 中的弱點的新方法。 這是影響 SSL 3.0 通訊協定本身且並非專屬於 Windows 操作系統的全產業弱點。 所有支援的 Microsoft Windows 版本都會實作此通訊協定，並受到此弱點的影響。 Microsoft 目前不知道嘗試使用回報弱點的攻擊。 考慮攻擊案例，此弱點不會對客戶造成高風險。

我們正積極與 Microsoft Active Protections 計劃 （MAPP） 中的合作夥伴合作，以提供他們可用來為客戶提供更廣泛保護的資訊。

Microsoft 宣佈在 2015 年 4 月 14 日發行安全性更新3038314時，Internet Explorer 11 預設會停用 SSL 3.0。 Microsoft 也宣佈在未來幾個月內，Microsoft 線上服務 將會停用 SSL 3.0。 我們建議客戶將用戶端和服務遷移至更安全的安全性通訊協定，例如 TLS 1.0、TLS 1.1 或 TLS 1.2。

緩和因素：

  • 攻擊者必須先提出數百個 HTTPS 要求，才能成功攻擊。
  • TLS 1.0、TLS 1.1、TLS 1.2 和不使用 CBC 模式的所有加密套件都不會受到影響。

建議。 如需停用 SSL 3.0 的因應措施，請參閱 此諮詢的建議動作 一節。 Microsoft 建議客戶使用這些因應措施來測試其客戶端和服務，以使用 SSL 3.0 並據以開始移轉。

諮詢詳細數據

問題參考

如需此問題的詳細資訊，請參閱下列參考：

參考 識別
知識庫文章 3009008
CVE 參考 CVE-2014-3566 

受影響的軟體

此諮詢會討論下列軟體。

受影響的軟體

|**操作系統**| |------------| |Windows Server 2003 Service Pack 2| |Windows Server 2003 x64 Edition Service Pack 2| |Windows Server 2003 SP2 for Itanium 型系統| |Windows Vista Service Pack 2| |Windows Vista x64 Edition Service Pack 2| |Windows Server 2008 for 32 位系統 Service Pack 2| |適用於 x64 型系統的 Windows Server 2008 Service Pack 2| |Windows Server 2008 for Itanium 型系統 Service Pack 2| |Windows 7 for 32 位系統 Service Pack 1| |Windows 7 for x64 型系統 Service Pack 1| |適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1| |Windows Server 2008 R2 for Itanium 型系統 Service Pack 1| |Windows 8 for 32 位系統| |適用於 x64 型系統的 Windows 8| |適用於 32 位系統的 Windows 8.1| |適用於 x64 型系統的 Windows 8.1| |Windows Server 2012| |Windows Server 2012 R2| |Windows RT| |Windows RT 8.1| |**Server Core 安裝選項**| |Windows Server 2008 for 32 位系統 Service Pack 2 （Server Core 安裝）| |適用於 x64 型系統的 Windows Server 2008 Service Pack 2 （Server Core 安裝）| |適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 （Server Core 安裝）| |Windows Server 2012 （Server Core 安裝）| |Windows Server 2012 R2 （Server Core 安裝）|

 

諮詢常見問題


我使用的是 11 以外的 Internet Explorer 版本。 如何保護系統免於遭受此弱點？
所有支援的 Microsoft Windows 版本上，Internet Explorer 11 中只停用 SSL 3.0。 如果您使用不同版本的 Internet Explorer，請參閱建議的因應措施一節，以取得可套用至系統以防範此弱點的因應措施。

諮詢的範圍為何？
此諮詢的目的是通知客戶 Microsoft 知道詳細資訊，說明利用影響 SSL 3.0 之弱點的新方法。 此弱點是資訊洩漏弱點。

攻擊者如何利用弱點？
在中間人攻擊中，攻擊者可能會降級加密的 TLS 工作階段，迫使用戶端使用 SSL 3.0，然後強制瀏覽器執行惡意代碼。 此程式代碼會將數個要求傳送至目標 HTTPS 網站，其中 Cookie 會在先前的已驗證會話存在時自動傳送。 這是利用此弱點的必要條件。 攻擊者接著可以攔截此 HTTPS 流量，並利用 SSL 3.0 中 CBC 區塊加密的弱點來解密加密流量的部分（例如驗證 Cookie）。

攻擊者可能會使用此弱點來執行哪些動作？
成功惡意探索此弱點的攻擊者可能會解密加密流量的一部分。

造成弱點的原因為何？
此弱點是因為 SSL 3.0 中缺少 CBC 區塊加密填補驗證所造成。

什麼是 SSL？
安全套接字層 （SSL） 是一種密碼編譯通訊協定，可透過因特網提供通訊安全性。 SSL 會使用密碼編譯來加密透過網路傳輸的數據，並針對訊息可靠性使用密碼編譯和密鑰訊息驗證碼。

什麼是 TLS？
傳輸層安全性 （TLS） 是標準通訊協定，用來在因特網或內部網路上提供安全的 Web 通訊。 它可讓客戶端驗證伺服器，或選擇性地驗證用戶端。 它也透過加密通訊來提供安全通道。 TLS 是安全套接字層 （SSL） 通訊協定的最新版本。

TLS 是否受到此問題的影響？
否。 此問題專屬於 SSL 3.0。

這是整個產業的問題嗎？
是。 此弱點位於 SSL 3.0 通訊協議的設計中，不限於 Microsoft 的實作。

建議的動作

套用因應措施

因應措施是指未修正基礎問題的設定或組態變更，但有助於在安全性更新可用之前封鎖已知的攻擊媒介。

  • 停用 SSL 3.0，並在 Internet Explorer 中啟用 TLS 1.0、TLS 1.1 和 TLS 1.2

    您可以藉由修改 Internet Explorer 中的進階安全性設定，在 Internet Explorer 中停用 SSL 3.0 通訊協定。

    若要變更要用於 HTTPS 要求的預設通訊協定版本，請執行下列步驟：

    1. 在 [Internet Explorer 工具] 功能表上，按兩下 [InternetOptions]。
    2. 在 [ InternetOptions ] 對話框中，按兩下 [ 進階 ] 索引卷標。
    3. 在 [安全性] 類別中，取消核取 [UseSSL3.0]，然後核取 [使用 TLS 1.0]、[使用 TLS 1.1] 和使用 TLS 1.2 （如果有的話）。
    4. 注意 檢查連續版本很重要。 未選取連續版本（例如檢查 TLS 1.0 和 1.2，但未檢查 1.1）可能會導致連線錯誤。
    5. 按一下 [確定]。
    6. 結束並且重新啟動 Internet Explorer。

    注意 套用此因應措施之後，Internet Explorer 將無法連線到僅支援 SSL 至 3.0 且不支援 TLS 1.0、TLS 1.1 和 TLS 1.2 的網頁伺服器。 

    注意:
    請參閱 Microsoft 知識庫文章3009008 ，以使用自動化的 Microsoft 修正解決方案，在 Internet Explorer 中停用 SSL 3.0。

    如何復原因應措施。 請遵循下列步驟在 Internet Explorer 中啟用 SSL 3.0。

    1. 在 [Internet Explorer 工具] 功能表上，按兩下 [InternetOptions]。
    2. 在 [ InternetOptions ] 對話框中，按兩下 [ 進階 ] 索引卷標。
    3. 在 [ 安全性 ] 類別中，勾選 [UseSSL3.0]。
    4. 按一下 [確定]。
    5. 結束並且重新啟動 Internet Explorer。

  • 停用 SSL 3.0，並在組策略中為 Internet Explorer 啟用 TLS 1.0、TLS 1.1 和 TLS 1.2

    您可以藉由修改關閉加密支援組策略物件，以停用 Internet Explorer 中的 SSL 3.0 通訊協議支援。

    1. 開啟 [群組原則管理]。

    2. 選取要修改的組策略物件，以滑鼠右鍵按下並選取 [ 編輯]。

    3. 在組策略管理編輯器中，流覽至下列設定：
      計算機設定 -> 管理員 原則範本 - Windows 元件 -> Internet Explorer ->> Internet 控制台 - 進階頁面 ->> 關閉加密支援

    4. 按兩下 [關閉加密支援] 設定以編輯設定。

    5. 按一下 [已啟用]。

    6. 在 [選項] 視窗中，將 [安全通訊協議組合] 設定變更為 [使用 TLS 1.0、TLS 1.1 和 TLS 1.2]。

    7. 注意 檢查連續版本很重要。 未選取連續版本（例如檢查 TLS 1.0 和 1.2，但未檢查 1.1）可能會導致連線錯誤。

    8. 按一下 [確定]。

      注意 管理員 istrators 應該藉由將 GPO 連結到其環境中的適當 OU，確定已適當套用此組策略。

    注意 套用此因應措施之後，Internet Explorer 將無法連線到僅支援 SSL 至 3.0 且不支援 TLS 1.0、TLS 1.1 和 TLS 1.2 的網頁伺服器。 

    如何復原因應措施。 請遵循下列步驟來停用 SSL 3.0 原則設定：

    1. 開啟 [群組原則管理]。

    2. 選取要修改的組策略物件，以滑鼠右鍵按下並選取 [ 編輯]。

    3. 在組策略管理編輯器中，流覽至下列設定：
      計算機設定 -> 管理員 原則範本 - Windows 元件 -> Internet Explorer ->> Internet 控制台 - 進階頁面 ->> 關閉加密支援

    4. 按兩下 [關閉加密支援] 設定以編輯設定。

    5. 按兩下 [已停用]。

    6. 按一下 [確定]。

  • 在 Windows 中停用 SSL 3.0

    針對伺服器軟體

    您可以遵循下列步驟，在 Windows 上停用 SSL 3.0 通訊協議的支援：

    1. 按兩下 [開始]，按兩下 [執行]，輸入 regedt32 或輸入 regedit，然後按兩下 [ 確定]。
    2. 在登錄編輯器中，找出下列登錄機碼：

    HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server

    注意 如果完整的登錄機碼路徑不存在，您可以展開可用的機碼，並使用 [編輯] 功能表中的 [新增 ->Key] 選項來建立它。

    1. 在 [ 編輯] 功能表上，按兩下 [新增值]。
    2. 在 [DataType ] 列表中，按兩下 [DWORD]。
    3. 在 [ ValueName] 方塊中，輸入 Enabled，然後按兩下 [ 確定]。 

    注意 如果此值存在，請按兩下值以編輯其目前值。

    1. 在 [ 編輯 DWORD （32 位） 值 ] 對話框中，輸入 0 。
    2. 按一下 [確定]。 重新啟動電腦。

     

    注意 此因應措施會針對系統上安裝的所有伺服器軟體停用 SSL 3.0，包括 IIS。

    注意 套用此因應措施之後，僅依賴 SSL 3.0 的用戶端將無法與伺服器通訊。

    如何復原因應措施。 請遵循下列步驟，在 Windows Server 軟體中停用 SSL 3.0：

    1. 開啟 [登錄編輯程式]。
    2. 找出並按下列登錄子機碼：

    HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Server

    1. 在 [編輯] 功能表上，按兩下 [ 刪除]。
    2. 出現提示時，請按一下 [是] 。
    3. 結束登錄編輯程式。
    4. 重新啟動系統。

    針對客戶端軟體

    您可以遵循下列步驟，在 Windows 上停用 SSL 3.0 通訊協議的支援：

    1. 按兩下 [開始]，按兩下 [執行]，輸入 regedt32 或輸入 regedit，然後按兩下 [ 確定]。
    2. 在登錄編輯器中，找出下列登錄機碼：

    HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client

    注意 如果完整的登錄機碼路徑不存在，您可以展開可用的機碼，並使用 [編輯] 功能表中的 [新增 ->Key] 選項來建立它。

    1. 在 [ 編輯] 功能表上，按兩下 [新增值]。
    2. 在 [DataType ] 列表中，按兩下 [DWORD]。
    3. 在 [ ValueName] 方塊中，輸入 Enabled，然後按兩下 [ 確定]。 

    注意 如果此值存在，請按兩下值以編輯其目前值。

    1. 在 [ 編輯 DWORD （32 位） 值 ] 對話框中，輸入 0 。
    2. 按一下 [確定]。 重新啟動電腦。

     

    注意 此因應措施會針對系統上安裝的所有用戶端軟體停用 SSL 3.0。

    注意 套用此因應措施之後，此電腦上的用戶端應用程式將無法與其他僅支援 SSL 3.0 的伺服器通訊。

    如何復原因應措施。 請遵循下列步驟，在 Windows 用戶端軟體中停用 SSL 3.0：

    1. 開啟 [登錄編輯程式]。
    2. 找出並按下列登錄子機碼：

    HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 3.0\Client

    1. 在 [編輯] 功能表上，按兩下 [ 刪除]。
    2. 出現提示時，請按一下 [是] 。
    3. 結束登錄編輯程式。
    4. 重新啟動系統。

其他建議的動作

  • 保護您的電腦

    我們繼續鼓勵客戶遵循我們的「保護您的計算機」指引，以啟用防火牆、取得軟體更新及安裝防病毒軟體。 如需詳細資訊，請參閱 Microsoft 保管庫 ty & 資訊安全中心。

  • 讓 Microsoft 軟體更新保持更新

    執行 Microsoft 軟體的使用者應套用最新的 Microsoft 安全性更新，以協助確保電腦盡可能受到保護。 如果您不確定您的軟體是否為最新狀態，請造訪 Microsoft Update、掃描您的電腦是否有可用的更新，並安裝您提供的任何高優先順序更新。 如果您已啟用自動更新並設定為提供 Microsoft 產品的更新，則更新會在發行時傳遞給您，但您應該確認它們已安裝。

通知

Microsoft 感謝您 與我們合作，協助保護客戶：

  • Google Security Team 的 Bodo Möller 與我們合作，討論此問題

其他資訊

Microsoft Active Protections 計劃 （MAPP）

為了改善客戶的安全性保護，Microsoft 會在每個每月安全性更新版本之前，為主要安全性軟體提供者提供弱點資訊。 然後，安全性軟體提供者可以使用此弱點資訊，透過其安全性軟體或裝置，例如防病毒軟體、網路型入侵檢測系統或主機型入侵預防系統，為客戶提供更新的保護。 若要判斷是否可從安全性軟體提供者取得主動保護，請流覽由計劃合作夥伴所提供的使用中保護網站，列在 Microsoft Active Protections 方案 （MAPP） 合作夥伴中。

Feedback

  • 您可以完成 Microsoft 說明及支援表單、客戶服務與我們連絡，以提供意見反應。

支援

免責聲明

本諮詢中提供的資訊是「如目前」提供，不含任何種類的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

修訂記錄

  • V1.0 （2014 年 10 月 14 日）：已發佈諮詢。
  • V1.1 （2014 年 10 月 15 日）：已修訂的諮詢，以納入在 Windows 中停用 SSL 3.0 通訊協定的因應措施。
  • V2.0 （2014 年 10 月 29 日）：已修訂建議，宣佈淘汰 SSL 3.0，以釐清在 Windows 伺服器和 Windows 用戶端上停用 SSL 3.0 的因應措施指示，並宣佈 Internet Explorer 的 Microsoft 修正解決方案的可用性。 如需詳細資訊，請參閱 知識庫文章3009008。
  • V2.1 （2014 年 12 月 9 日）：Microsoft 宣佈在 Internet Explorer 11 中提供 SSL 3.0 後援警告。 如需詳細資訊，請參閱 知識庫文章3013210。
  • V2.2 （2015 年 2 月 10 日）：Microsoft 在 Internet Explorer 11 中預設會停用 SSL 3.0 後援嘗試。 如需詳細資訊，請參閱 Microsoft 知識庫文章3021952。
  • V2.3 （2015 年 2 月 16 日）：修訂後的諮詢，宣佈在 Internet Explorer 11 中預設停用 SSL 3.0 的計劃日期。
  • V3.0 （2015 年 4 月 14 日） 已修訂公告，在 2015 年 4 月 14 日發行安全性更新3038314時，Internet Explorer 11 預設會停用 SSL 3.0，並新增如何復原因應措施的指示。

頁面產生 2015-04-07 14：32Z-07：00。