Protecção Expandida para Autenticação

A Microsoft está a anunciar a disponibilidade de uma nova funcionalidade, Protecção Expandida para Autenticação, na plataforma Windows. Esta funcionalidade melhora a protecção e o processamento de credenciais na autenticação das ligações de rede utilizando a Autenticação Integrada do Windows (IWA).

A actualização não fornece directamente protecção contra ataques específicos, tais como reencaminhamento de credenciais, mas permite que as aplicações optem activamente pela Protecção Expandida para Autenticação. Este aviso apresenta um resumo aos programadores e administradores de sistema sobre esta nova funcionalidade e a forma como pode ser implementada para ajudar a proteger as credenciais de autenticação.

A actualização no artigo 968389 da Base de Dados de Conhecimento Microsoft modifica o SSPI para melhorar o funcionamento da autenticação do Windows de modo a que as credenciais não sejam reencaminhadas facilmente quando a Autenticação Integrada do Windows (IWA) estiver activada.

Para mais informações, consulte o aviso de segurança 973811 visitando o seguinte Web site da Microsoft:

Para mais informações sobre problemas conhecidos relativos a este software, clique nos números de artigo que se seguem para visualizar os artigos na Base de Dados de Conhecimento Microsoft:

• 977073  (http://support.microsoft.com/kb/977073/ ) CORRECÇÃO: A autenticação de texto implícita falha num servidor membro do Windows Server 2003 quando efectua a autenticação num controlador de domínio do Windows Server 2008 R2
• 979231  (http://support.microsoft.com/kb/979231/ ) A utilização de memória continua a aumentar se a autenticação Schannel for utilizada depois de a actualização 968389 ser instalada no Windows Vista ou no Windows Server 2008

Esta actualização de segurança modifica o SSPI para melhorar o funcionamento da autenticação do Windows de modo a que as credenciais não sejam reencaminhadas facilmente quando a Autenticação Integrada do Windows (IWA) estiver activada.

Quando a Protecção Expandida para Autenticação está activada, os pedidos de autenticação são vinculados aos Nomes do Principal do Serviço (SPN) do servidor ao qual o cliente tenta ligar e ao canal Transport Layer Security (TLS) externo através do qual ocorre a autenticação IWA. Trata-se de uma actualização base que permite que as aplicações optem pela nova funcionalidade.

Depois de instalar esta actualização de segurança, é necessário implementar as seguintes definições de subchave de registo para activar a Protecção Expandida:

• Defina o valor da subchave de registo correspondente a
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\SuppressExtendedProtection
  como "0" (zero) para activar a tecnologia de protecção. Por predefinição, esta subchave de registo não é criada quando a actualização de segurança está instalada. Se esta subchave de registo não tiver sido criada, a Protecção Expandida é desactivada. Quando define a entrada de registo SuppressExtendedProtection para "1" ou quando elimina esta subchave, a Protecção Expandida é desactivada. Ao definir a entrada do registo SuppressExtendedProtection para "3," a Protecção Expandida é desactivada, assim como os enlaces de canal enviados pelo Kerberos, mesmo que sejam fornecidos pela aplicação.
• Defina o valor de subchave de registo correspondente a
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
  como "3". Não é a predefinição do Windows XP e Windows Server 2003. Trata-se de uma chave existente que activa a Autenticação NTLMv2. A protecção expandida para a autenticação do Windows só é aplicável aos protocolos de autenticação NTLMv2, Kerberos, de texto implícita e de negociação, não sendo aplicada a NTLMv1.

Nota É necessário reiniciar o computador depois de definir os valores de registo SuppressExtendedProtection e LmCompatibilityLevel num computador baseado no Windows XP.

Depois de instalar esta actualização de segurança, tem de activar a Protecção Expandida. Para nos solicitar a activação da Protecção Expandida, consulte a secção "Corrigir por mim". Se preferir activar as Actualizações Automáticas sozinho, consulte a secção "Deixar-me corrigir o problema".

Corrigir por mim

Para activar a Protecção Expandida automaticamente depois de transferir e instalar a actualização de segurança para a sua plataforma, clique na hiperligação Corrigir este problema. Em seguida, clique em Executar na caixa de diálogo Transferência de Ficheiros e siga os passos indicados neste assistente.



Nota: este assistente pode estar apenas em inglês; contudo, a correcção automática também funciona em versões do Windows noutros idiomas.

Nota: se não estiver a trabalhar no computador que tem o problema, pode guardar a correcção automática numa unidade Flash ou num CD e, em seguida, pode executá-la no computador com o problema.

Deixar-me corrigir o problema

Importante: esta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo de forma incorrecta. Assim, certifique-se de que segue estes passos cuidadosamente. Para uma maior segurança, efectue uma cópia de segurança do registo antes de o modificar. Deste modo, pode restaurar o registo se ocorrer um problema. Para mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento Microsoft: Para activar a Protecção Expandida sozinho depois de transferir e instalar a actualização de segurança para a sua plataforma, siga estes passos:

1. Inicie o Editor de Registo. Para o fazer, clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave de registo:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
3. Verifique a presença dos valores de registo SuppressExtendedProtection e LmCompatibilityLevel.
   
   Se os valores de registo não existirem, siga estes passos para os criar:
   1. Com a subchave de registo indicada no passo 2 seleccionada, no menu Editar, aponte para Novo e clique em Valor DWORD.
   2. Escreva SuppressExtendedProtection e, em seguida, prima ENTER.
   3. Com a subchave de registo indicada no passo 2 seleccionada, no menu Editar, aponte para Novo e clique em Valor DWORD.
   4. Escreva LmCompatibilityLevel e, em seguida, prima ENTER.
4. Clique para seleccionar o valor de registo SuppressExtendedProtection.
5. No menu Editar, clique em Modificar.
6. Na caixa Dados do valor, escreva 0 e clique em OK.
7. Clique para seleccionar o valor de registo LmCompatibilityLevel.
8. No menu Editar, clique em Modificar.
   
   Nota Este passo altera os requisitos de autenticação NTLM. Reveja o seguinte artigo na Base de Dados de Conhecimento Microsoft para se certificar de que está familiarizado com este comportamento.
   239869  (http://support.microsoft.com/kb/239869/ ) Como activar a autenticação NTLM 2
9. Na caixa Dados do valor, escreva 3 e clique em OK.
10. Saia do Editor de Registo.
11. Se efectuar estas alterações num computador baseado no Windows XP, será necessário reiniciar o computador para que as mesmas ´sejam activadas.

Os seguintes ficheiros estão disponíveis para transferência a partir do Centro de Transferências da Microsoft:
Transfira agora o pacote do Windows XP Service Pack 2 e do Windows XP Service Pack 3. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=cb9a7ba1-72c7-4c72-a802-ac5bb3442ce4)

Transfira agora o pacote do Windows XP para Sistemas baseados em x64 Service Pack 2 e do Windows XP para Sistemas baseados em x64 Service Pack 3. (http://www.microsoft.com/downloads/details.aspx?FamilyID=b0ae9b16-1479-4bf2-84a1-828871ba2d64)

Transfira agora o pacote do Windows Server 2003 Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=3ce0efe2-82ec-4134-9891-37efeab24e3a)

Transfira agora o pacote do Windows Server 2003 para Sistemas baseados em x64 Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?FamilyID=36b476ef-6a57-47be-98ce-4b0b7d56fef7)

Transfira agora o pacote do Windows Server 2003 para Sistemas baseados em Itanium e do Windows Server 2003 para Sistemas baseados em Itanium Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?FamilyID=9d2c12c7-1b64-4bd9-bcd6-9e8cda84b116)

Transfira agora o pacote do Windows Vista, Windows Vista Service Pack 1 e Windows Vista Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=6d96662c-f061-4907-b9bc-de2a1497dcfd)

Transfira agora o pacote do Windows Vista para Sistemas baseados em x64, do Windows Vista para Sistemas baseados em x64 Service Pack 1 e do Windows Vista para Sistemas baseados em x64 Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=f877a3bf-0240-4bf8-94fc-10bf3f3c91e8)

Transfira agora o pacote do Windows Server 2008 para Sistemas de 32 bits e do Windows Server 2008 para Sistemas de 32 bits Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=d19fce0d-1134-48b4-a886-ddb134968d56)

Transfira agora o pacote do Windows Server 2008 para Sistemas baseados em x64 e do Windows Server 2008 para Sistemas baseados em x64 Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-pt&FamilyID=c1eaa95f-47d2-4852-bc28-9854c35bb289)

Transfira agora o pacote do Windows Server 2008 para Sistemas baseados em Itanium e do Windows Server 2008 para Sistemas baseados em Itanium Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?FamilyID=d6e6696c-09cc-4c0d-9faa-2512cc3f5ee5)

Data de Edição: 7 de Agosto de 2009

Para mais informações sobre como transferir ficheiros de suporte da Microsoft, clique no número de artigo que se segue para visualizar o artigo da Base de Dados de Conhecimento Microsoft: A Microsoft procedeu à detecção de vírus neste ficheiro. A Microsoft utilizou o software de detecção de vírus mais actual, disponível na data de publicação do ficheiro. O ficheiro está armazenado em servidores com segurança melhorada, que ajudam a impedir quaisquer alterações não autorizadas ao ficheiro.

A versão em inglês (Estados Unidos) desta actualização de software instala ficheiros que têm os atributos listados nas tabelas seguintes. As datas e horas destes ficheiros são indicadas no formato de Hora Universal Coordenada (UTC). As datas e horas destes ficheiros são apresentadas no computador local com a hora local e com a compensação da hora de Verão (DST) actual. Além disso, as datas e horas podem ser alteradas quando são executadas determinadas operações nos ficheiros.

Informações sobre ficheiros do Windows XP e do Windows Server 2003

• Os ficheiros aplicáveis a uma especificação (RTM, SPn) e ramo de serviço (QFE, GDR) específicos estão anotados nas colunas "Requisito SP" e "Ramo de serviço".
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço QFE contêm outras correcções além das correcções amplamente distribuídas.
• Além dos ficheiros listados nestas tabelas, esta actualização de software também instala um ficheiro de catálogo de segurança (KBnúmero.cat) associado que está assinado com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 suportadas do Windows XP

Para todas as versões baseadas em x64 suportadas do Windows Server 2003 e do Windows XP Professional x64 Edition

Para todas as versões baseadas em x86 suportadas do Windows Server 2003

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2003

Notas informativas dos ficheiros do Windows Vista e do Windows Server 2008

• Os ficheiros aplicáveis a um produto, especificação (RTM, SPn) e ramo de serviço (LDR, GDR) específicos podem ser identificados examinando os números de versão dos ficheiros, conforme mostrado na tabela seguinte:
  Reduzir esta tabelaExpandir esta tabela

  Versão	Produto	Especificação	Ramo de serviço
  6.0.600 0 . 16 xxx	Windows Vista	RTM	GDR
  6.0.600 0. 20xxx	Windows Vista	RTM	LDR
  6.0.600 1. 18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.600 1. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR

• O Service Pack 1 está integrado na versão original do Windows Server 2008. Por isso, os ficheiros da especificação RTM aplicam-se apenas ao Windows Vista. Os ficheiros da especificação RTM possuem um número de versão 6.0.0000.xxxxxx.
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço LDR incluem outras correcções para além das correcções amplamente distribuídas.
• Os ficheiros MANIFEST (.manifest) e MUM (.mum) instalados em cada ambiente são listados separadamente. Os ficheiros MUM e MANIFEST, assim como os ficheiros de catálogo de segurança (.cat) associados, são essenciais para manter o estado do componente actualizado. Os ficheiros de catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 suportadas do Windows Server 2008 e do Windows Vista

Para todas as versões baseadas em x64 suportadas do Windows Server 2008 e do Windows Vista

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2008

Informações sobre ficheiros adicionais para o Windows Server 2008 e para o Windows Vista

Ficheiros adicionais para todas as versões baseadas em x86 do Windows Server 2008 e do Windows Vista suportadas

Ficheiros adicionais para todas as versões baseadas em x64 suportadas do Windows Server 2008 e do Windows Vista

Ficheiros adicionais para todas as versões baseadas em IA-64 suportadas do Windows Server 2008