微软警告：Schannel安全更新有漏洞 解决方法为卸载4个加密系统

微软在知识文库里针对上周的MS14-066更新发出警告。微软还提供了一个解决问题的方法，微软不建议用户避免或卸载MS14-066更新。

MS14-066更新修复Schannel中至少一个严重漏洞。Schannel是微软版SSL/ TLS加密套件。坊间广泛认为MS14-066更新十分重要。笔者上周敦促过用户尽早安装MS14-066更新。

而有些用户在安装MS14-066更新时碰到严重问题。其问题是系统在默认情况下会启用TLS 1.2，进而导致TLS协议的协商失败。根据微软的资料，发生这种情况时，“TLS 1.2连接会掉线，相关程序的过程会挂起（停止响应），服务或会间歇性地无反应。”系统事件日志里可能出现一条记录，事件ID为36887，其描述为“从远程端点接收了一个致命的警报。TLS协议中定义的致命警报代码为40。”

MS14-066更新中除了包括安全更新外，还加入了一些新的功能：TLS用的四个加密系统。这些加密系统是问题的原因所在。要解决问题，做法是删除四个新加密系统：

• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

• TLS_RSA_WITH_AES_256_GCM_SHA384

• TLS_RSA_WITH_AES_128_GCM_SHA256

至于删除的具体步骤，请参阅知识库文章。

有关MS14-066更新目前还有很多不清楚的地方。微软和其他处于特别位置的人士提供了各种说明，称该更新修复了一个漏洞或几个漏洞，一说漏洞是由外界向微软报告的，也有说漏洞是通过内部测试发现的。另外，安全公告里亦无提供太详细的东西，只是说不存在减缓因素（Mitigating factor）。

笔者谨向SANS研究所的互联网风暴中心致意。