Не удалось установить https соединение ошибка tls 54

Обновлено: 28.01.2023

Прежде чем спрашивать ознакомьтесь с RU-Board The Bat! FAQ

Как задавать вопросы в этом топике. Читать обязательно!

Если поиск не помог, то переходим к следующему этапу. КАК ЗАДАТЬ ВОПРОС И ПОЛУЧИТЬ ОТВЕТ ИНСТРУКЦИЯ

Внимание! Установку альф/бет производите на свой страх и риск. Если что не так — сами себе злобные Буратино!
Еще один источник беток TB
Антиспам-плагины:
AntispamSniper плагин — мощная защита от спама, удаляющая спам непосредственно с сервера

Скидываю этот же настроенный Вояджер на работу, с работы всё сразу подхватывается даже без всяких окон-запросов oAuth2 и нормально работает. Что ему не нравится дома? Айпишник белый, инет нормальный кабельный и никаких проблем не создает.

2. Стоит The Bat 8.8.9 и Касперский Free. Почему-то при отключении антивируса программа перестает работать с ошибкой — Ошибка протокола TLS: Неверная запись MAC DecryptBarRecordMac.
Как отвязать программы друг от друга?

У меня тоже есть в хранилище сертификат от Google, но до него дело не доходит.

«. Клиент/библиотека OpenSSL не поддерживает SNI

Во время тестирования подключения может быть возвращен следующий результат:

Verify return code: 18 (self signed certificate)

Чтобы убедиться в этом, проверьте выходные данные клиента OpenSSL на наличие следующей строки в начале файла:

depth=0 OU = «No SNI provided; please fix your client.», CN = invalid2.invalid

Эта ошибка может возникать из-за того, что версия OpenSSL не поддерживает SNI или приложение использует библиотеку OpenSSL с отключенным расширением SNI . »

Один-в-один ваша ситуация c распечатки. Значит, я ошибся насчёт подмены сертификата.
Из описания следует, что это сам гугл специально возвращает такой кривой сертификат в том случае, если у клиента что-то не так с SNI.
Пока не соображу, что тут можно сделать. Разве что действительно проверить в предыдущих версиях The Bat.

Добавлено:
RetroRocket
Гугловский imap-сервер требует поддержки SNI на стороне клиента, если рукопожатие идёт с использованием TLS 1.3

При попытке соединения может происходить сбой или тайм-аут TLS. Вы также можете получить одну или несколько из указанных ниже ошибок.

«Запрос прерван: не удалось создать безопасный канал SSL/TLS»

Причина

В связи с принудительным применением CVE-2019-1318 из соображений безопасности все обновления для поддерживаемых версий Windows, выпущенные 8 октября 2019 г. или позже, применяют Extended Master Secret (EMS) для возобновления, как определено в RFC 7627. При подключении к сторонним устройствам и ОС, которые не соответствуют требованиям, могут возникать проблемы и сбои.

Дальнейшие действия

После полного обновления соединения между двумя устройствами под управлением любой поддерживаемой версии Windows не должны иметь этой ошибки. Для этой ошибки обновление Windows не требуется. Эти изменения необходимы для устранения неполадок безопасности и соответствия требованиям безопасности.

Все сторонние операционные системы, устройства и службы, которые не поддерживают возобновление EMS, могут проявлять проблемы, связанные с подключениями TLS. Обратитесь к администратору, изготовителю или поставщику услуг за обновлениями, которые полностью поддерживают возобновление EMS, как определено в RFC 7627.

Примечание. Корпорация Майкрософт не рекомендует отключать EMS. Если служба EMS была явным образом отключена ранее, ее можно снова включить, задав следующие значения в разделе реестра:

На сервере TLS — DisableServerExtendedMasterSecret: 0
На клиенте TLS — DisableClientExtendedMasterSecret: 0

Дополнительные сведения для администраторов

1. На устройстве с Windows, которое пытается установить TLS-подключение к устройству, которое не поддерживает Extended Master Secret (EMS), при согласовании комплектов шифров TLS_DHE_* может иногда возникать сбой, приблизительно в 1 попытке из 256. Чтобы устранить эту ошибку, реализуйте одно из следующих решений, указанных в порядке предпочтения.

Включите поддержку расширений Extend Master Secret (EMS) при выполнении TLS-подключений как в клиентской, так и в серверной операционной системе.

Для операционных систем, которые не поддерживают EMS, удалите комплекты шифров TLS_DHE_* из списка комплектов шифров в ОС клиентского устройства TLS. Инструкции о том, как это сделать в Windows, см в разделе Определение приоритета для комплектов шифров Schannel.

3. FTP-серверы или клиенты, не совместимые с RFC 2246 (TLS 1.0) и RFC 5246 (TLS 1.2), могут не передавать файлы при возобновлении или сокращенном подтверждении, и это приведет к сбою каждого подключения. При возникновении этой проблемы необходимо обратиться к производителю или поставщику услуг за обновлениями, которые соответствуют стандартам RFC.

Затронутые обновления

Эта проблема может возникать для любого последнего накопительного обновления (LCU) или ежемесячных накопительных пакетов, выпущенных 8 октября 2019 года или позже, для затронутых платформ:

KB4517389 LCU для Windows 10, версия 1903.

KB4519338 LCU для Windows 10 версии 1809 и Windows Server 2019.

KB4520008 LCU для Windows 10, версия 1803.

KB4520004 LCU для Windows 10, версия 1709.

KB4520010 LCU для Windows 10, версия 1703.

KB4519998 LCU для Windows 10 версии 1607 и Windows Server 2016.

KB4520011 LCU для Windows 10, версия 1507.

KB4520005 Ежемесячный накопительный пакет для Windows 8.1 и Windows Server 2012 R2.

KB4520007 Ежемесячный накопительный пакет обновления для Windows Server 2012.

KB4519976 Ежемесячный накопительный пакет для Windows 7 SP1 и Windows Server 2008 R2 SP1.

KB4520002 Ежемесячный накопительный пакет обновления для Windows Server 2008 SP2

Эта проблема может возникать для следующих обновлений системы безопасности, выпущенных 8 октября 2019 года, для затронутых платформ:

KB4519990 Обновление для системы безопасности для Windows 8.1 и Windows Server 2012 R2.

KB4519985 Обновление для системы безопасности для Windows Server 2012 и Windows Embedded 8 Standard.

KB4520003 Обновление для системы безопасности для Windows 7 SP1 и Windows Server 2008 R2 SP1

При подключении к некоторым сайтам пользователи встречают ошибку «Возможно, на сайте используются устаревшие или ненадежные параметры безопасности протокола TLS». Это особый интернет-протокол, который был разработан для более безопасного соединения между браузером и сервером. При передаче сигнала в нём данные зашифровываются, не позволяя третьей стороне получить важную информацию. Рассмотрим, что делать в этой ситуации и что эта ошибка означает.

TLS применяется сегодня практически во всех приложениях, связанных с передачей данных: интернет-браузер, мессенджер (VoIP), электронная почта. Первая версия протокола (SSL) была разработана компанией Netscape Communication. На данным момент более новой версией и её развитием занимается инженерный совет Интернета (IETF).

Причины сбоя в протоколе TLS

Как решить проблему с параметрами безопасности TLS

Для начала необходимо решить проблему с антивирусом и убедиться, что дело не в нем. Необходимо проверить свои настройки антивирусного ПО. В каждой такой программе есть функция сканирования интернет-соединения. Она может работать неверно.

Необходимо также убедиться, что в вашей версии Windows установлены последние обновления.

1. Для этого нажмите WIN+R и введите команду «services.msc»;
2. Нажмите ENTER;
3. Найдите в списке служб Windows «Центр обновления»;
4. Нажмите правой кнопкой мыши на этой строке и выберите «Свойства»;
5. В открывшемся окошке убедитесь, что установлено значение в блоке «Тип запуска» — «Автоматически»;
6. Далее выберите кнопку «Пуск», «Панель управления»;
7. Выберите «Система и безопасность»;
8. Затем «Центр обновления» и нажмите кнопку «Проверить обновления».

Поиск и удаление вирусов на компьютере

Теперь рассмотрим, что делать, если в вашем компьютере поселился вирус, который блокирует безопасное соединение. Для начала попробуйте открыть установленный на вашем компьютере антивирус и запустите разные типы сканирования: «Полное сканирование», «Быстрое», «Интеллектуальное» и др. Попробуйте сканировать не только весь жесткий диск, но и отдельные тома и папки. Проверьте папки, в которых находятся файлы вашего браузера.

Утилита Dr.Web-CureIt для сканирования ПК на вирусы

Если это не дало результатов, воспользуйтесь специальными утилитами, которые предназначены для разового сканирования и поиска вредоносного программного обеспечения. Практически каждый разработчик полноценного антивирусного ПО (Dr.WEB, Kaspersky, ESET и др.) имеет специальную утилиту, которую можно взять на официальном сайте. Это по размеру небольшие программы, которые не нужно устанавливать на диск. Их достаточно запустить и указать путь для сканирования. Обязательно воспользуйтесь этим эффективным инструментом.

Другие методы устранения ошибки безопасного соединения TLS

• Если вы пользуетесь Internet Explorer — откройте «Сервис». Нажмите «Свойства обозревателя», выберите «Дополнительно», затем нажмите вкладку «Безопасность». Здесь нужно найти пункты SSL и TLS. Если галочка установлена на пункте SSL, уберите её и поставьте на более новую версию протокола. Сохраните настройки и попытайтесь войти на сайт;
• В Opera — нажмите «Инструменты», далее выберите «Общие настройки». Перейдите в «Расширенные», и в разделе безопасности найдите пункт «Протоколы безопасности». Здесь нужно убрать галочки со строк с версиями TLS и оставить те, которые установлены на пунктах, вроде «256 bit…». Обязательно уберите галочку с пункта «Anonymous DH/SHA-256;
• Для Mozilla Firefox — откройте настройки, выберите пункт «Дополнительно» и «Шифрование». Как в IE, нам нужно оставить галочки на TLS и убрать со старого протокола SSL. Другие браузеры (Google Chrome, Safari и т.д.) настроек безопасного соединения не имеют. Поэтому нам приходится либо сменить браузер, либо искать причины в другом месте.

Закройте окна, перезагрузите компьютер и снова попробуйте попасть на сайт, на котором вы встретили ошибку — на этом сайте применяется устаревшие или ненадежные настройки безопасности TLS.

Предлагаем разобраться со способами устранения подобных ошибок.

Что такое SSL?

SSL (Secure Socket Layer) — это интернет-протокол для создания зашифрованного соединения между пользователем и сервером, который гарантирует безопасную передачу данных.

Когда пользователь заходит на сайт, браузер запрашивает у сервера информацию о наличии сертификата. Если сертификат установлен, сервер отвечает положительно и отправляет копию SSL-сертификата браузеру. Затем браузер проверяет сертификат, название которого должно совпадать с именем сайта, срок действия сертификата и наличие корневого сертификата, выданного центром сертификации.

Причины возникновения ошибок SSL-соединения

Когда сертификат работает корректно, адресная строка браузера выглядит примерно так:

Но при наличии ошибок она выглядит несколько иначе:

Существует множество причин возникновения таких ошибок. К числу основных можно отнести:

• Некорректную дату и время на устройстве (компьютер, смартфон, планшет и т.д.);
• Ненадежный SSL-сертификат;
• Брандмауэр или антивирус, блокирующие сайт;
• Включенный экспериментальный интернет-протокол QUIC;
• Отсутствие обновлений операционной системы;
• Использование SSL-сертификата устаревшей версии 3.0;
• Появление ошибки «Invalid CSR» при генерации сертификата из панели управления облачного провайдера.

Давайте рассмотрим каждую из них подробнее.

Проблемы с датой и временем

Для исправления этой ошибки достаточно установить на устройстве актуальное время. После этого необходимо перезагрузить страницу или браузер.

Ненадежный SSL-сертификат

Одной из причин появления такой ошибки, как и в предыдущем случае, может стать неправильное время. Однако есть и вторая причина — браузеру не удается проверить цепочку доверия сертификата, потому что не хватает корневого сертификата. Для избавления от такой ошибки необходимо скачать специальный пакет GeoTrust Primary Certification Authority, содержащий корневые сертификаты. После скачивания переходим к установке. Для этого:

• Нажимаем сочетание клавиш Win+R и вводим команду certmgr.msc, жмем «Ок». В Windows откроется центр сертификатов.
• Раскрываем список «Доверенные корневые центры сертификации» слева, выбираем папку «Сертификаты», кликаем по ней правой кнопкой мышки и выбираем «Все задачи — импорт».

• Запустится мастер импорта сертификатов. Жмем «Далее».

• Нажимаем кнопку «Обзор» и указываем загруженный ранее сертификат. Нажимаем «Далее»:

• В следующем диалоговом окне указываем, что сертификаты необходимо поместить в доверенные корневые центры сертификации, и нажимаем «Далее». Импорт должен успешно завершиться.

После вышеперечисленных действий можно перезагрузить устройство и проверить отображение сайта в браузере.

Брандмауэр или антивирус, блокирующие сайт

Некоторые сайты блокируются брандмауэром Windows. Для проверки можно отключить брандмауэр и попробовать зайти на нужный сайт. Если SSL-сертификат начал работать корректно, значит дело в брандмауэре. В браузере Internet Explorer вы можете внести некорректно работающий сайт в список надежных и проблема исчезнет. Однако таким образом вы снизите безопасность своего устройства, так как содержимое сайта может быть небезопасным, а контроль сайта теперь отключен.

Включенный экспериментальный протокол QUIC

QUIC — это новый экспериментальный протокол, который нужен для быстрого подключения к интернету. Основная задача протокола QUIC состоит в поддержке нескольких соединений. Вы можете отключить этот протокол в конфигурации вашего браузера.

Показываем как отключить QUIC на примере браузера Google Chrome:

Этот способ работает и в Windows и в Mac OS.

Отсутствие обновлений операционной системы

Проблемы с SSL-сертификатами могут возникать и из-за того, что на вашей операционной системе давно не устанавливались обновлений. Особенно это касается устаревших версий Windows (7, Vista, XP и более ранние). Установите последние обновления и проверьте работу SSL.

Использование SSL-сертификата версии 3.0

Некоторые сайты используют устаревший SSL-протокол версии 3.0, который не поддерживают браузеры. По крайней мере, по умолчанию. Чтобы браузер поддерживал устаревший SSL необходимо сделать следующее (на примере браузера Google Chrome):

• Откройте браузер и перейдите в раздел «Настройки».
• Прокрутите страницу настроек вниз и нажмите «Дополнительные».
• В разделе «Система» найдите параметр «Настройки прокси-сервера» и кликните на него.

• Откроется окно. Перейдите на вкладку «Дополнительно».
• В этой вкладке вы увидите чекбокс «SSL 3.0».

• Поставьте галочку в чекбоксе, нажмите кнопку «Ок» и перезагрузите браузер.

Ошибки «Invalid CSR» при генерации сертификата из панели управления облачного провайдера

В процессе активации сертификата можно столкнуться с ошибкой «Invalid CSR». Такая ошибка возникает по следующим причинам:

Читайте также:

• Что из перечисленного не может быть ip адресом компьютера
• Как сделать ноутбук мощнее
• Файл не найден музыка xiaomi
• Компьютер не обладает интеллектом пока не будет загружено программное обеспечение
• Как восстановить файлы в кс го

• #1

Как через сервер администрирования запустить защиту на рабочей станции? На некоторых машинах статус постоянной защиты остановлено

Последнее редактирование модератором: 24.08.2020

• #3

несовместимость версий видимо. Решил обновить сервер до kaspersky security center 11

• #4

Вытекающая проблема, после установки kaspersky security center 11 сервер на этапе первоначальной настройки пытается обновить инсталляционные пакеты через интернет.
Появляется ошибка соединения,

Не удалось получить обновления.
Задача обновления завершена. Не удалось установить HTTPS соединение: ошибка TLS (54).

Доступ на межсетевом экране для сервера открыт.. Подскажите что не так..

• #5

tls не фурычит, написано же

Последнее редактирование модератором: 24.08.2020

• #6

посмотрите что в событиях указано??

• #7

Обновление сервера не помогло. Такое ощущение что сервер «не понимает» как управлять этими версиями антивирусов…
В событиях

Хранилище информации об уязвимостях программного обеспечения отключено. Поиск уязвимостей отменен.
Хранилище информации об обновлениях Microsoft Windows отключено. Поиск обновлений Windows отменен.

• #8

попробуйте перезагрузить или запустить инсталл заново

• #9

выключить и включить пробовали

Последнее редактирование модератором: 25.08.2020

• #10

выключить и включить пробовали

уже не актуально, разобрались давно

Последнее редактирование модератором: 25.08.2020

• #11

уже не актуально, разобрались давно

В чём было дело?
Интересует как «вылечил» это:

Хранилище информации об уязвимостях программного обеспечения отключено. Поиск уязвимостей отменен.
Хранилище информации об обновлениях Microsoft Windows отключено. Поиск обновлений Windows отменен.

Последнее редактирование модератором: 28.11.2020

• #12

решается переустановкой антивируса или переустановкой плагина на стороне сервера администрирования

1. Форум

3. Обсуждение

5. Электронный бюджет

7. Не удалось установить tcp соединение с хостом lk.budget.gov.ru:443

1. Форум

3. Обсуждение

5. Электронный бюджет

7. Не удалось установить tcp соединение с хостом lk.budget.gov.ru:443

Wakumba	#1 Оставлено : 3 июня 2022 г. 15:54:32(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 03.06.2022(UTC) Сообщений: 4 Сказал(а) «Спасибо»: 1 раз	Добрый день! Возникла проблема (win10 21H2 19044.1682) при подключении к системе гасу (gasu.gov.ru), пишет «сайт неожиданно разорвал соединение» из всех допустимых браузеров по гост (хромиум гост, спутник с поддержкой криптографии и яндекс браузер). Заметил, что система при отправке client hello запроса не показывает в списке наборов шифров (cipher suites) три гостовских, хотя в системе они установлены. И после от сервера приходит ответ «handshake failure». Крипто про версии 5.0.12330, переустанавливал с полным удалением с помощью утилиты от крипто про, не дало эффекта. Сами браузеры так же установлены с нуля, не помогло. Нашёл похожую тему на форуме, https://www.cryptopro.ru…aspx?g=posts&t=20279 установка браузера не спасла. Если кто-то сталкивался с чем-то похожим, буду признателен за любую помощь. hello client.jpg (241kb) загружен 12 раз(а). cipher suites.jpg (147kb) загружен 9 раз(а).

Максим Коллегин	#2 Оставлено : 6 июня 2022 г. 14:37:18(UTC)
Статус: Сотрудник Группы: Администраторы Зарегистрирован: 12.12.2007(UTC) Сообщений: 6,281 Откуда: КРИПТО-ПРО Сказал «Спасибо»: 21 раз Поблагодарили: 673 раз в 593 постах	Скорее всего у вас политикой ограничены используемые cipher-сюиты. Посмотрите в Код: HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftCryptographyConfigurationSSL0010002
Знания в базе знаний, поддержка в техподдержке
	WWW

Wakumba	#3 Оставлено : 7 июня 2022 г. 12:16:43(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 03.06.2022(UTC) Сообщений: 4 Сказал(а) «Спасибо»: 1 раз	Автор: Максим Коллегин Скорее всего у вас политикой ограничены используемые cipher-сюиты. Посмотрите в Код: HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftCryptographyConfigurationSSL0010002 Добрый день! Проблема у нескольких людей, мне кажется политика бы применилась на все пк, если бы была. Нашёл похожую тему с вашим ответом, скриншоты веток во вложении В указанной ветке пусто, пробовал прописывать туда всё что есть по ветке HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCryptographyConfigurationLocalSSL0010002 к сожалению не помогло, при отправке client hello гост комплектов нет. software.JPG (54kb) загружен 6 раз(а). system2.JPG (66kb) загружен 5 раз(а).

Максим Коллегин	#4 Оставлено : 7 июня 2022 г. 12:35:27(UTC)
Статус: Сотрудник Группы: Администраторы Зарегистрирован: 12.12.2007(UTC) Сообщений: 6,281 Откуда: КРИПТО-ПРО Сказал «Спасибо»: 21 раз Поблагодарили: 673 раз в 593 постах	А в этой ветке в Functions есть ГОСТ? HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCryptographyConfigurationLocalSSL0010002 Если предоставите удаленный доступ — посмотрю. В ЛС.
Знания в базе знаний, поддержка в техподдержке
	WWW
1 пользователь поблагодарил Максим Коллегин за этот пост.	Wakumba оставлено 07.06.2022(UTC)

Wakumba	#5 Оставлено : 7 июня 2022 г. 15:06:44(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 03.06.2022(UTC) Сообщений: 4 Сказал(а) «Спасибо»: 1 раз	Автор: Максим Коллегин А в этой ветке в Functions есть ГОСТ? HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCryptographyConfigurationLocalSSL0010002 Если предоставите удаленный доступ — посмотрю. В ЛС. В этой ветке есть. Сохранил, но не приложил почему-то. TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA TLS_RSA_WITH_AES_256_GCM_SHA384 TLS_RSA_WITH_AES_128_GCM_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA256 TLS_RSA_WITH_AES_128_CBC_SHA256 TLS_RSA_WITH_AES_256_CBC_SHA TLS_RSA_WITH_AES_128_CBC_SHA TLS_RSA_WITH_3DES_EDE_CBC_SHA TLS_RSA_WITH_NULL_SHA256 TLS_RSA_WITH_NULL_SHA TLS_PSK_WITH_AES_256_GCM_SHA384 TLS_PSK_WITH_AES_128_GCM_SHA256 TLS_PSK_WITH_AES_256_CBC_SHA384 TLS_PSK_WITH_AES_128_CBC_SHA256 TLS_PSK_WITH_NULL_SHA384 TLS_PSK_WITH_NULL_SHA256 TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC TLS_GOSTR341112_256_WITH_MAGMA_CTR_OMAC TLS_GOSTR341112_256_WITH_28147_CNT_IMIT_IANA TLS_GOSTR341112_256_WITH_28147_CNT_IMIT TLS_GOSTR341001_WITH_28147_CNT_IMIT Помимо functions в самой папке 00010002 есть подпапки с именами гост. По сути ветки реестра идентичны на двух одинаковых пк, но в одном работает, в другом нет.

Wakumba	#6 Оставлено : 7 июня 2022 г. 16:24:28(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 03.06.2022(UTC) Сообщений: 4 Сказал(а) «Спасибо»: 1 раз	Коллеги, всем еще раз добрый день! Резюмируя итоги проблемы (Максим, огромное Вам спасибо) в системе всё в порядке, ssl трафик блокировался службами ИБ. Для примера, при переходе на сайт крипто-про и просмотре сертификата с рабочей станции отображается подмененный сертификат (в примере он заменен антивирусом касперского) Primer.JPG (32kb) загружен 9 раз(а). У нас аналогичная ситуация, но подмена осуществлялась не касперским, а другим сетевым экраном, надеюсь это кому-то поможет.

Пользователи, просматривающие эту тему

Guest (2)

Быстрый переход
 

Вы не можете создавать новые темы в этом форуме.

Вы не можете отвечать в этом форуме.

Вы не можете удалять Ваши сообщения в этом форуме.

Вы не можете редактировать Ваши сообщения в этом форуме.

Вы не можете создавать опросы в этом форуме.

Вы не можете голосовать в этом форуме.

Проблемы

При попытке соединения может происходить сбой или тайм-аут TLS. Вы также можете получить одну или несколько из указанных ниже ошибок.

• «Запрос прерван: не удалось создать безопасный канал SSL/TLS»

• Ошибка 0x8009030f

• Ошибка, зарегистрированная в журнале системных событий для события SCHANNEL 36887 с кодом предупреждения 20 и описанием, «С удаленной конечной точки получено оповещение о неустранимой ошибке. Определенный в протоколе TLS код оповещения о неустранимой ошибке: 20».​

Причина

В связи с принудительным применением CVE-2019-1318 из соображений безопасности все обновления для поддерживаемых версий Windows, выпущенные 8 октября 2019 г. или позже, применяют Extended Master Secret (EMS) для возобновления, как определено в RFC 7627. При подключении к сторонним устройствам и ОС, которые не соответствуют требованиям, могут возникать проблемы и сбои.

Дальнейшие действия

После полного обновления соединения между двумя устройствами под управлением любой поддерживаемой версии Windows не должны иметь этой ошибки. Для этой ошибки обновление Windows не требуется. Эти изменения необходимы для устранения неполадок безопасности и соответствия требованиям безопасности.

Все сторонние операционные системы, устройства и службы, которые не поддерживают возобновление EMS, могут проявлять проблемы, связанные с подключениями TLS. Обратитесь к администратору, изготовителю или поставщику услуг за обновлениями, которые полностью поддерживают возобновление EMS, как определено в RFC 7627.

Примечание. Корпорация Майкрософт не рекомендует отключать EMS. Если служба EMS была явным образом отключена ранее, ее можно снова включить, задав следующие значения в разделе реестра:

HKLMSystemCurrentControlSetControlSecurityProvidersSchannel

На сервере TLS — DisableServerExtendedMasterSecret: 0

На клиенте TLS — DisableClientExtendedMasterSecret: 0

Дополнительные сведения для администраторов

1. На устройстве с Windows, которое пытается установить TLS-подключение к устройству, которое не поддерживает Extended Master Secret (EMS), при согласовании комплектов шифров TLS_DHE_* может иногда возникать сбой, приблизительно в 1 попытке из 256. Чтобы устранить эту ошибку, реализуйте одно из следующих решений, указанных в порядке предпочтения.

• Включите поддержку расширений Extend Master Secret (EMS) при выполнении TLS-подключений как в клиентской, так и в серверной операционной системе.

• Для операционных систем, которые не поддерживают EMS, удалите комплекты шифров TLS_DHE_* из списка комплектов шифров в ОС клиентского устройства TLS. Инструкции о том, как это сделать в Windows, см в разделе Определение приоритета для комплектов шифров Schannel.

2. Операционные системы, которые отправляют сообщения запроса сертификата только в режиме полного подтверждения после возобновления, не соответствуют стандарту RFC 2246 (TLS 1.0) или RFC 5246 (TLS 1.2) и приводят к сбою каждого подключения. Возобновление не гарантируется в соответствии со спецификацией RFC, но оно может быть использовано по усмотрению клиента и сервера TLS. При возникновении этой проблемы необходимо обратиться к производителю или поставщику услуг за обновлениями, которые соответствуют стандартам RFC.

3. FTP-серверы или клиенты, не совместимые с RFC 2246 (TLS 1.0) и RFC 5246 (TLS 1.2), могут не передавать файлы при возобновлении или сокращенном подтверждении, и это приведет к сбою каждого подключения. При возникновении этой проблемы необходимо обратиться к производителю или поставщику услуг за обновлениями, которые соответствуют стандартам RFC.

Затронутые обновления

Эта проблема может возникать для любого последнего накопительного обновления (LCU) или ежемесячных накопительных пакетов, выпущенных 8 октября 2019 года или позже, для затронутых платформ:

• KB4517389 LCU для Windows 10, версия 1903.

• KB4519338 LCU для Windows 10 версии 1809 и Windows Server 2019.

• KB4520008 LCU для Windows 10, версия 1803.

• KB4520004 LCU для Windows 10, версия 1709.

• KB4520010 LCU для Windows 10, версия 1703.

• KB4519998 LCU для Windows 10 версии 1607 и Windows Server 2016.

• KB4520011 LCU для Windows 10, версия 1507.

• KB4520005 Ежемесячный накопительный пакет для Windows 8.1 и Windows Server 2012 R2.

• KB4520007 Ежемесячный накопительный пакет обновления для Windows Server 2012.

• KB4519976 Ежемесячный накопительный пакет для Windows 7 SP1 и Windows Server 2008 R2 SP1.

• KB4520002 Ежемесячный накопительный пакет обновления для Windows Server 2008 SP2

Эта проблема может возникать для следующих обновлений системы безопасности, выпущенных 8 октября 2019 года, для затронутых платформ:

• KB4519990 Обновление для системы безопасности для Windows 8.1 и Windows Server 2012 R2.

• KB4519985 Обновление для системы безопасности для Windows Server 2012 и Windows Embedded 8 Standard.

• KB4520003 Обновление для системы безопасности для Windows 7 SP1 и Windows Server 2008 R2 SP1

• KB4520009 Обновление для системы безопасности Windows Server 2008 SP2