Proteção Estendida para Autenticação

Microsoft está anunciando a disponibilidade de um recurso novo (proteção estendida para autenticação) na plataforma Windows. Esse recurso aprimora a proteção e a manipulação de credenciais ao autenticar conexões de rede usando a Autenticação integrada do Windows (IWA).

A atualização não fornece diretamente proteção contra ataques específicos como encaminhamento de credenciais, mas permite que aplicativos consintam a proteção estendida para autenticação. Esse comunicado resume desenvolvedores e administradores de sistema nessa nova funcionalidade e como ela pode ser implantada para ajudar a proteger credenciais de autenticação.

Essa atualização no artigo 968389 da Base de Dados de Conhecimento Microsoft modifica o SSPI para aprimorar a maneira como a autenticação do Windows funciona para que as credenciais não sejam encaminhadas facilmente quando a Autenticação integrada do Windows (IWA) estiver habilitada.

Para obter mais informações, consulte o comunicado de segurança 973811. Para fazer isso, visite o seguinte site da Microsoft:

Para obter informações adicionais sobre os problemas conhecidos com este software, clique nos números abaixo para ler os artigos na Base de Dados de Conhecimento Microsoft:

• 977073  (http://support.microsoft.com/kb/977073/ ) CORREÇÃO: A autenticação Digest apresenta falhas em um servidor membro do Windows Server 2003 ao autenticar em um controlador de domínio do Windows Server 2008 R2
• 979231  (http://support.microsoft.com/kb/979231/ ) O uso da memória continua aumentando se a autenticação Schannel é usada após a instalação da atualização 968389 no Windows Vista ou no Windows Server 2008

Essa atualização de segurança modifica o SSPI para aprimorar a maneira como a autenticação do Windows funciona para que as credenciais não sejam encaminhadas facilmente quando a Autenticação integrada do Windows (IWA) estiver habilitada.

Quando a proteção estendida para autenticação está habilitada, as solicitações para autenticação são ligadas ao SPN (Nome principal de serviço) do servidor ao qual o cliente tenta conectar-se e ao canal TLS externo no qual ocorre a autenticação IWA. Essa é uma atualização básica que permite que aplicativos consintam o novo recurso.

Depois de instalar essa atualização de segurança, você deve implementar as seguintes configurações da chave do Registro para ativar a Proteção Estendida:

• Defina o valor da subchave do Registro de
  HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\SuppressExtendedProtection
  para "0" (zero) para habilitar a tecnologia de proteção. Por padrão, essa subchave do Registro não é criada ao instalar a atualização de segurança. Se essa subchave do Registro não for criada, a Proteção Estendida será desabilitada. Quando você define a entrada do Registro SuppressExtendedProtection para "1" ou quando você exclui essa subchave, a Proteção Estendida é desabilitada. Quando você define a entrada do Registro SuppressExtendedProtection para "3", a Proteção Estendida é desabilitada e os vínculos de canal enviadas pelo Kerberos também são desabilitados, mesmo se fornecidos pelo aplicativo.
• Defina o valor da subchave do Registro de
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel
  para "3". Este não é o padrão do Windows XP e do Windows Server 2003. Essa chave é uma chave existente que permite a autenticação NTLMv2. A proteção estendida para a autenticação do Windows se aplica apenas aos protocolos de autenticação de negociação, digest, NTLMv2 e Kerberos e não ao NTLMv1.

Observação Reinicie o seu computador após a definição dos valores SuppressExtendedProtection e LmCompatibilityLevel do Registro em um computador baseado em Windows XP.

Após a instalação desta atualização de segurança, será necessário habilitar a Proteção Estendida. Para que possamos habilitar a Proteção Estendida para você, vá para a seção "Corrigir para mim". Se preferir ativar as Atualizações Automáticas sozinho, vá para a seção "Desejo corrigir sozinho".

Corrigir para mim

Para habilitar a Proteção Estendida automaticamente depois de baixar e instalar a atualização de segurança para a plataforma, clique no link Corrigir este problema. Em seguida, clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas descritas neste assistente.



Observação Esse assistente pode estar somente em inglês, mas a correção automática também funciona para versões do Windows em outros idiomas.

Observação Se o computador que você está usando não apresentar o problema, será possível salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador que apresentar o problema.

Desejo corrigir sozinho

Importante Esta seção, este método ou esta tarefa contém etapas que informam sobre como modificar o Registro. No entanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Por isso, certifique-se de seguir essas etapas cuidadosamente. Para obter mais proteção, faça um backup do Registro antes de modificá-lo. Dessa forma, você poderá restaurar o Registro se ocorrer um problema. Para obter informações adicionais sobre como fazer backup e restaurar o Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft: Para habilitar a Proteção Estendida por conta própria após o download e a instalação de segurança para a plataforma, siga estas etapas:

1. Inicie o Editor do Registro. Para fazer isso, clique em Iniciar, em Executar, digite regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave do Registro:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
3. Verifique se os valores SuppressExtendedProtection e LmCompatibilityLevel do Registro estão presentes.
   
   Se os valores do Registro estiverem ausentes, execute as seguintes etapas para criá-los:
   1. Com a subchave do Registro listada na etapa 2 selecionada, aponte para Novo no menu Editar e clique em Valor DWORD.
   2. Digite SuppressExtendedProtection e pressione ENTER.
   3. Com a subchave do Registro listada na etapa 2 selecionada, aponte para Novo no menu Editar e clique em Valor DWORD.
   4. Digite LmCompatibilityLevel e pressione ENTER.
4. Clique para selecionar o valor SuppressExtendedProtection do Registro.
5. No menu Editar, clique em Modificar.
6. Na caixa Dados do valor, digite 0 e clique em OK.
7. Clique para selecionar o valor LmCompatibilityLevel do Registro.
8. No menu Editar, clique em Modificar.
   
   Observação Essa etapa altera requisitos de autenticação NTLM. Revise o artigo seguinte da Base de Dados de Conhecimento Microsoft para verificar se você está familiarizado com este comportamento.
   239869  (http://support.microsoft.com/kb/239869/ ) Como habilitar a autenticação NTLM 2
9. Na caixa Dados do valor, digite 3 e clique em OK.
10. Saia do Editor de Registro.
11. Se essas alterações forem executadas em um computador baseado em Windows XP, será necessário reiniciar o computador para que elas entrem em vigor.

Os arquivos a seguir estão disponíveis para download no Centro de Download da Microsoft:
Baixe agora os pacotes do Windows XP Service Pack 2 e do Windows XP Service Pack 3. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=cb9a7ba1-72c7-4c72-a802-ac5bb3442ce4)

Baixe agora os pacotes do Windows XP Service Pack 2 para sistemas com base em x64 e do Windows XP Service Pack 3 para sistemas com base em x64. (http://www.microsoft.com/downloads/details.aspx?FamilyID=b0ae9b16-1479-4bf2-84a1-828871ba2d64)

Baixe agora o pacote do Windows Server 2003 Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=3ce0efe2-82ec-4134-9891-37efeab24e3a)

Baixe agora o pacote do Windows Server 2003 Service Pack 2 para sistemas com base em x64. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=36b476ef-6a57-47be-98ce-4b0b7d56fef7)

Baixe agora os pacotes do Windows Server 2003 para sistemas com base em Itanium e do Windows Server 2003 Service Pack 2 para sistemas com base em Itanium. (http://www.microsoft.com/downloads/details.aspx?FamilyID=9d2c12c7-1b64-4bd9-bcd6-9e8cda84b116)

Baixe agora os pacotes do Windows Vista, do Windows Vista Service Pack 1 e do Windows Vista Service Pack 2. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=6d96662c-f061-4907-b9bc-de2a1497dcfd)

Baixe agora os pacotes do Windows Vista para sistemas com base em x64, do Windows Vista Service Pack 1 para sistemas com base em x64 e do Windows Vista Service Pack 2 para sistemas com base em x64. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=f877a3bf-0240-4bf8-94fc-10bf3f3c91e8)

Baixe agora os pacotes do Windows Server 2008 para sistemas de 32 bits e do Windows Server 2008 Service Pack 2 para sistemas de 32 bits. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=d19fce0d-1134-48b4-a886-ddb134968d56)

Baixe agora os pacotes Windows Server 2008 para sistemas com base em x64 e Windows Server 2008 Service Pack 2 para sistemas com base em x64. (http://www.microsoft.com/downloads/details.aspx?displaylang=pt-br&FamilyID=c1eaa95f-47d2-4852-bc28-9854c35bb289)

Baixe agora os pacotes do Windows Server 2008 para sistemas com base em Itanium e do Windows Server 2008 Service Pack 2 para sistemas com base em Itanium. (http://www.microsoft.com/downloads/details.aspx?FamilyID=d6e6696c-09cc-4c0d-9faa-2512cc3f5ee5)

Data de lançamento: 7 de agosto de 2009

Para obter mais informações sobre como baixar os arquivos de suporte da Microsoft, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft: A Microsoft examinou este arquivo em busca de vírus. A Microsoft usou o mais recente software de detecção de vírus disponível na data em que o arquivo foi publicado. O arquivo está armazenado em servidores de segurança avançada que ajudam a evitar qualquer alteração não autorizada no arquivo.

A versão em inglês (Estados Unidos) desta atualização de software instala arquivos que têm os atributos listados nas tabelas a seguir. As datas e as horas desses arquivos estão listadas em formato UTC (Tempo Universal Coordenado). As datas e as horas desses arquivos no computador local são exibidas em sua hora local com a diferença do horário de verão atual. Além disso, as datas e horas também podem ser alteradas quando você realizar determinadas operações nos arquivos.

Informações sobre o arquivo do Windows XP e do Windows Server 2003

• Os arquivos que se aplicam a uma etapa específica (RTM, SPn) e ramificação do serviço (QFE, GDR) são observados nas colunas ?Requisito de SP? e ?Ramificação do serviço?.
• As ramificações do serviço GDR contêm somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço QFE contêm hotfixes, além de correções amplamente disponibilizadas.
• Além dos arquivos listados nessas tabelas, esta atualização de software também instala um arquivo associado do catálogo de segurança (KBnúmero.cat) que está assinado com uma assinatura digital da Microsoft.

Para todas as versões compatíveis com base em x86 do Windows XP

Para todas as versões compatíveis com base em x64 do Windows Server 2003 e do Windows XP Professional x64 edition

Para todas as versões compatíveis com base em x86 do Windows Server 2003

Para todas as versões compatíveis com base em IA-64 do Windows Server 2003

Informações sobre o arquivo do Windows XP e do Windows Server 2008

• Os arquivos que se aplicam a uma etapa específica (RTM, SPn) e ramificação do serviço (LDR, GDR) podem ser identificados ao examinar os números da versão do arquivo, conforme mostrado na tabela a seguir:
  Recolher esta tabelaExpandir esta tabela

  Versão	Produto	Etapa	Ramificação do serviço
  6.0.600 0. 16xxx	Windows Vista	RTM	GDR
  6.0.600 0. 20xxx	Windows Vista	RTM	LDR
  6.0.600 1. 18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.600 1. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR

• O Service Pack 1 está integrado na versão de lançamento original do Windows Server 2008. Por isso, os arquivos da etapa RTM se aplicam somente ao Windows Vista. Os arquivos da etapa RTM tem um número de versão 6.0.0000.xxxxxx.
• As ramificações do serviço GDR contêm somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço LDR contêm hotfixes, além de correções amplamente disponibilizadas.
• Os arquivos MANIFEST (.manifest) e os arquivos MUM (.mum) instalados para cada ambiente são listados separadamente. Os arquivos MUM e MANIFEST, e os arquivos associados do catálogo de segurança (.cat) são importantes para manter o estado do componente atualizado. Os arquivos do catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 compatíveis do Windows Server 2008 e do Windows Vista

Para todas as versões baseadas em x64 compatíveis do Windows Server 2008 e do Windows Vista

Para todas as versões compatíveis com base em IA-64 do Windows Server 2008

Informações de arquivo adicional para o Windows Server 2008 e o Windows Vista

Arquivos adicionais para todas as versões com base em x86 compatíveis do Windows Server 2008 e do Windows Vista

Arquivos adicionais para todas as versões baseadas em x64 compatíveis do Windows Server 2008 e do Windows Vista

Arquivos adicionais para todas as versões baseadas em IA-64 compatíveis com o Windows Server 2008