Les connexions TLS (Transport Layer Security) peuvent échouer ou expirer lors de la connexion ou d'une reprise. (2024)

Symptômes

Quand vous essayez de vous connecter, les connesions TLS (Transport Layer Security) peuvent échouer ou expirer. Vous pouvez également recevoir une ou plusieurs des erreurs suivantes:

• «La requête a été interrompue: Impossible de créer un canal sécurisé SSL/TLS».

• Erreur0x8009030f

• Une erreur a été consignée dans le journal des événements système pour l'événement SCHANNEL36887 avec le code d'alerte20 et la description «Une alerte irrécupérable a été reçue du point de terminaison distant. Le code d’alerte irrécupérable défini par protocole de TLS est 20.»

Cause

En raison de l’application liée à la sécurité pour CVE-2019-1318, toutes les mises à jour des versions prises en charge de Windows publiées à partir du 8octobre2019 appliquent EMS (Extended Master Secret) pour la reprise, conformément à la norme RFC7627. Les connexions à des appareils et des systèmes d'exploitation tiers qui ne sont pas conformes peuvent présenter des problèmes ou échouer.

Étapes suivantes

Les connexions entre deux appareils exécutant une version prise en charge de Windows ne devraient pas avoir ce problème en cas de mise à jour complète. Aucune mise à jour de Windows n’est nécessaire pour ce problème. Ces modifications sont nécessaires pour résoudre un problème de sécurité et de conformité à la sécurité.

Tout système d’exploitation, appareil ou service tiers qui ne prend pas en charge la reprise SME peut présenter des problèmes liés aux connexions TLS. Vous devez contacter votre administrateur, fabricant ou fournisseur de services pour obtenir des mises à jour qui prennent pleinement en charge la reprise SME telle que définie par la normeRFC 7627.

RemarqueMicrosoft ne recommande pas de désactiver EMS. Si EMS a été explicitement désactivé, vous pouvez le réactiver en définissant les valeurs de clé de Registre suivantes:

HKLM\System\CurrentControlSet\Control\SecurityProviders\Schannel

On TLS Server: DisableServerExtendedMasterSecret: 0
On TLS Client: DisableClientExtendedMasterSecret: 0

Informations avancées pour les administrateurs

1. Un appareil Windows tentant d’établir une connexion TLS (Transport Layer Security) avec un appareil qui ne prend pas en charge EMS (Extended Master Secret) quand les suites de chiffrement TLS_DHE_* sont négociées peut échouer par intermittence environ 1tentative sur 256. Pour atténuer ce problème, implémentez l'une des solutions suivantes dans l'ordre de préférence:

• Activez la prise en charge des extensions EMS (Extend Master Secret) lors de l’établissem*nt de connexions TLS sur le client et le système d’exploitation serveur.

• Pour les systèmes d'exploitation qui ne prennent pas en charge EMS, supprimez les suites de chiffrement TLS_DHE_* de la liste de suites de chiffrement du système d'exploitation de l'appareil client TLS. Pour obtenir des instructions sur la procédure à suivre sur Windows, consultez l'articlePrioritizing Schannel Cipher Suites (en anglais uniquement).

Mises à jour concernées

N’importe quelle dernière mise à jour cumulative (LCU) ou derniers correctifs cumulatifs mensuels publiés le mardi 8 octobre 2019 ou à une date ultérieure pour les plateformes concernées peuvent présenter ce problème:

• KB4517389Mise à jour LCU pour Windows10version1903.

• KB4519338Mise à jour LCU pour Windows10 version1809 et Windows Server2019.

• KB4520008Mise à jour LCU pour Windows10version1803.

• KB4520004Mise à jour LCU pour Windows10version1709.

• KB4520010Mise à jour LCU pour Windows10version1703.

• KB4519998Mise à jour LCU pourWindows10 version1607 et Windows Server2016.

• KB4520011Mise à jour LCU pour Windows10version1507.

• KB4520005Correctif cumulatif mensuel pour Windows8.1 et Windows Server2012R2.

• KB4520007 Correctif cumulatif mensuel pour Windows Server2012.

• KB4519976Correctif cumulatif mensuel pour Windows7SP1 et Windows Server2008R2SP1.

• KB4520002 Correctif cumulatif mensuel pour Windows Server2008SP2.

La mise à jour de sécurité uniquement suivante publiée le mardi 8 octobre 2019 pour les plateformes concernées peut présenter ce problème:

• KB4519990Mise à jour de sécurité uniquement pour Windows8.1 et Windows Server2012R2.

• KB4519985 Mise à jour de sécurité uniquement pour Windows Server2012 et Windows Embedded8 Standard.

• KB4520003Mise à jour de sécurité uniquement pour Windows7SP1 et WindowsServer2008R2 SP1.

• KB4520009 Mise à jour de sécurité uniquement pour Windows Server2008SP2.