É necessário reiniciar o SSL V3 no Windows? - Poodle exploit

Question

Estamos tentando desativar o SSL V3 em vários servidores Windows; Como parte disso, os registros estão sendo atualizados remotamente via script. Problema é que muitas reinicializações são necessárias após a alteração do registro. Existe uma maneira de contornar isso, pode serviço ser reiniciado no servidor para não aceitar mais SSL V3 pós mudança de registro?

Edit: Pouco mais de esclarecimento, trata-se de "SSL V3 server" disable; nos servidores do Windows 2012 R2.

    

Answer 1

Sim ... provavelmente ... se você estiver falando sobre aplicativos que chamam o schannel.dll.

Você mencionou "Servidores" e mencionou "SSlv3", que é um protocolo. Alterações nessa chave do registro exigem uma reinicialização.

Leia este artigo da Microsoft: link

É basicamente a bíblia deste tópico.

Observe que o artigo diz "Alterações na chave CIPHERS ou na tecla HASHES entram em vigor imediatamente, sem a reinicialização do sistema."

No entanto, você está alterando a chave PROTOCOLS. Então, reinicie.

EDITAR: Ah, esqueci de mencionar a parte mais importante - alterações nessa chave do registro, que afetam apenas aplicativos que chamam a DLL do Schannel. (Como IIS, RDP, SQL Server, etc.) Eles NÃO têm EFEITO em aplicativos que usam uma biblioteca de terceiros, como o OpenSSL. Nessas aplicações, é impossível sabermos se será necessária uma reinicialização ou não, porque depende do aplicativo.

    

Answer 2

Você pode reiniciar o serviço HTTP usando net stop http e net start http . Obviamente, isso afetará apenas os aplicativos que o usam (como o IIS).

Você também precisará reiniciar quaisquer serviços, dependendo do serviço HTTP, e fechar qualquer outro processo usando \Device\Http\* (caso contrário, o serviço não será interrompido).

Aqui está um script do PowerShell para fazer tudo isso. (Ele usa o handle.exe do link e não considera vários níveis de serviços dependentes.)

$depencies = Get-Service HTTP -DependentServices |? Status -eq Running
Stop-Service $depencies
.\handle.exe -nobanner -a \Device\Http\ |? { $_ -match '\s+pid:\s*(?<pid>\d+)\s+' } |% { $matches.pid } | gu |% { Stop-Process -Id $_ -Confirm }
Restart-Service HTTP
Start-Service $depencies

(eu testei isso apenas no Windows 7).