ID d'événement Windows 36874 – Schannel : Échec de la poignée de main de connexion TLS

Commencez par examiner les détails complets de l'événement pour comprendre la raison spécifique de l'échec et les informations sur le point de terminaison distant.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 36874 en cliquant avec le bouton droit sur le journal Système et en sélectionnant Filtrer le journal actuel
4. Entrez 36874 dans le champ ID d'événements et cliquez sur OK
5. Double-cliquez sur l'ID d'événement 36874 le plus récent pour voir les informations détaillées
6. Notez l'adresse IP du point de terminaison distant, la version du protocole et la description de l'erreur
7. Vérifiez l'horodatage de l'événement pour le corréler avec les tentatives de connexion d'application ou de service

Utilisez PowerShell pour extraire plusieurs événements pour l'analyse des motifs :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=36874} -MaxEvents 50 | Select-Object TimeCreated, Message | Format-Table -Wrap

Vérifiez les paramètres du protocole TLS sur le système local pour assurer la compatibilité avec les points de terminaison distants.

1. Ouvrez l'Éditeur du Registre en tant qu'Administrateur
2. Accédez à HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols
3. Vérifiez les sous-clés comme TLS 1.0, TLS 1.1, TLS 1.2, et TLS 1.3
4. Sous chaque version de protocole, examinez les sous-clés Client et Server
5. Vérifiez les valeurs DWORD Enabled et DisabledByDefault

Utilisez PowerShell pour vérifier la configuration TLS actuelle :

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\*\*' | Select-Object PSPath, Enabled, DisabledByDefault

Pour activer les connexions client TLS 1.2 si elles sont désactivées :

New-Item -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Force
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'Enabled' -Value 1 -PropertyType DWORD -Force
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client' -Name 'DisabledByDefault' -Value 0 -PropertyType DWORD -Force

Examinez la chaîne de certificats et le magasin de confiance pour identifier les échecs de poignée de main liés aux certificats.

1. Ouvrez Microsoft Management Console en exécutant mmc.exe en tant qu'administrateur
2. Ajoutez le composant logiciel enfichable Certificats pour le compte d'ordinateur
3. Accédez à Certificats (Ordinateur local) → Autorités de certification racines de confiance → Certificats
4. Vérifiez que les certificats racines requis sont présents et non expirés
5. Vérifiez les Autorités de certification intermédiaires pour les certificats intermédiaires manquants

Utilisez PowerShell pour tester la validation de la chaîne de certificats pour un point de terminaison spécifique :

$endpoint = "example.com"
$port = 443
$tcpClient = New-Object System.Net.Sockets.TcpClient
$tcpClient.Connect($endpoint, $port)
$sslStream = New-Object System.Net.Security.SslStream($tcpClient.GetStream())
try {
    $sslStream.AuthenticateAsClient($endpoint)
    Write-Host "Validation du certificat réussie" -ForegroundColor Green
    $sslStream.RemoteCertificate | Format-List
} catch {
    Write-Host "Échec de la validation du certificat : $($_.Exception.Message)" -ForegroundColor Red
} finally {
    $sslStream.Close()
    $tcpClient.Close()
}

Pour mettre à jour le magasin de certificats à partir de Windows Update :

certlm.msc  # Ouvrir le Gestionnaire de certificats
# Ou utilisez PowerShell pour mettre à jour les certificats racines
Invoke-Expression "certutil -generateSSTFromWU roots.sst"
Invoke-Expression "certutil -addstore -f root roots.sst"

Ajustez la configuration de la suite de chiffrement pour résoudre les problèmes de compatibilité avec les points de terminaison distants.

1. Ouvrez l'Éditeur de stratégie de groupe en exécutant gpedit.msc
2. Accédez à Configuration de l'ordinateur → Modèles d'administration → Réseau → Paramètres de configuration SSL
3. Configurez la stratégie Ordre des suites de chiffrement SSL si disponible
4. Sinon, utilisez PowerShell pour gérer directement les suites de chiffrement

Lister l'ordre actuel des suites de chiffrement :

Get-TlsCipherSuite | Select-Object Name, Certificate, KeyExchange, Cipher, Hash | Format-Table -AutoSize

Activer des suites de chiffrement spécifiques pour la compatibilité :

# Activer TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 si désactivé
Enable-TlsCipherSuite -Name "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384"

# Définir l'ordre de priorité des suites de chiffrement
$cipherOrder = @(
    "TLS_AES_256_GCM_SHA384",
    "TLS_AES_128_GCM_SHA256",
    "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
    "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
)

foreach ($cipher in $cipherOrder) {
    Enable-TlsCipherSuite -Name $cipher
}

Vérifiez le registre pour la configuration des suites de chiffrement :

Get-ItemProperty -Path 'HKLM:\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002' -Name Functions -ErrorAction SilentlyContinue

Implémentez une journalisation complète et une analyse réseau pour diagnostiquer des échecs de poignée de main complexes.

1. Activez la journalisation détaillée des événements Schannel dans le registre
2. Configurez la capture de paquets réseau pour l'analyse de la poignée de main TLS
3. Utilisez Windows Performance Toolkit pour des diagnostics avancés

Activez la journalisation détaillée de Schannel :

# Activer la journalisation des événements Schannel
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL' -Name 'EventLogging' -Value 7 -PropertyType DWORD -Force

# Activer la journalisation de la poignée de main TLS (Windows Server 2022/2025)
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL' -Name 'LogLevel' -Value 7 -PropertyType DWORD -Force

Capturez le trafic réseau pour l'analyse de la poignée de main :

# Démarrer la capture réseau avec netsh
netsh trace start capture=yes provider=Microsoft-Windows-TCPIP tracefile=C:\temp\tls_capture.etl

# Reproduire le problème de connexion TLS
# Arrêter la capture
netsh trace stop

# Convertir en pcap pour l'analyse avec Wireshark
pktmon start --etw -f C:\temp\tls_packets.etl
# Reproduire le problème
pktmon stop
pktmon etl2txt C:\temp\tls_packets.etl

Surveillez les événements Schannel en temps réel :

# Surveiller les événements Schannel au fur et à mesure qu'ils se produisent
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Schannel'} -MaxEvents 1 | Wait-Event

# Créer un abonnement d'événements personnalisé
wevtutil cs schannel_monitor.xml
# Où schannel_monitor.xml contient la configuration de l'abonnement

Analysez le timing et la performance de la poignée de main TLS :

# Utiliser Performance Toolkit pour une analyse détaillée
wpr -start GeneralProfile -start CPU -start Network
# Reproduire le problème TLS
wpr -stop C:\temp\tls_analysis.etl

# Analyser avec Windows Performance Analyzer
wpa C:\temp\tls_analysis.etl