Güvenlik ilkeleri ve Kerberos kimlik doðrulamasý için DES þifreleme kullanan Hizmetleri Windows 7 veya Windows Server 2008 R2 çalýþtýran bir bilgisayarda varsayýlan ayarlarla uyumlu deðil

Kerberos için Veri Þifreleme Standardý (DES) þifreleme türleri, Windows 7 ve Windows Server 2008 R2'de, varsayýlan olarak devre dýþýdýr.

NOT:Windows 7 ve Windows Server 2008 R2 Kerberos þifreleme desteði bulunmaktadýr.


Varsayýlan olarak, aþaðýdaki þifre paketleri Windows 7 ve Windows Server 2008 R2 destekler:

• AES256-CTS-HMAC-SHA1-96
• AES128-CTS-HMAC-SHA1-96
• RC4 HMAC

Gerekli olduðunda DES-CBC-MD5 þifre paketi ve DES-CBC-CRC þifre paketi Windows 7'de etkinleþtirilebilir.

Aþaðýdaki senaryolarý göz önünde bulundurun:

• Bir hizmet için DES þifreleme Windows 7 veya Windows Server 2008 R2 çalýþtýran bir bilgisayarda yalnýzca bir kullanýcý hesabý veya yapýlandýrýlmýþ bir bilgisayar hesabý'ný kullanýr.
• Bir hizmet, bir kullanýcý hesabý veya bilgisayar hesabý, yalnýzca DES þifrelemesi için yapýlandýrýlmýþ olan ve bir etki alanýnda Windows Server 2008 R2 tabanlý etki alaný denetleyicileri ile birlikte kullanýr.
• Windows 7 veya Windows Server 2008 R2 çalýþtýran bir istemci, hizmet için DES þifrelemesi için yalnýzca bir kullanýcý hesabý veya yapýlandýrýlmýþ bir bilgisayar hesabý kullanarak baðlanýr.
• Bir güven iliþkisi yalnýzca DES þifrelemesi için yapýlandýrýlmýþ ve Windows Server 2008 R2 çalýþtýran etki alaný denetleyicileri içeriyor.
• DES þifreleme kullanmak için kodlanmýþ bir uygulama veya hizmet olur.

Aþaðýdaki olaylar uygulama, güvenlik, tüm bu senaryolarýn alabileceðiniz ve sistem günlükleri ile birlikteMicrosoft-Windows-Kerberos-Key-Distribution-Centerkaynak:

Varsayýlan olarak, Kerberos için DES þifreleme için güvenlik ayarlarýný aþaðýdaki bilgisayarlarda devre dýþý býrakýlýr:

• Windows 7 çalýþtýran bilgisayarlar
• Windows Server 2008 R2 çalýþtýran bilgisayarlar
• Windows Server 2008 R2 çalýþtýran etki alaný denetleyicileri

Varsayýlan olarak, Windows 7 Geliþmiþ Þifreleme Standardý (AES) ya da RC4 "þifreleme türleri" ve "etypes" kullanýr Yalnýzca DES þifrelemesi için yapýlandýrýlmýþ olan hizmetlerin sürece baþarýsýz:

• Hizmet, RC4 þifreleme desteði veya AES þifreleme desteði için yapýlandýrýlýr.
• Tüm istemci bilgisayarlar, tüm sunucularý ve tüm etki alaný denetleyicileri hizmet hesabýnýn etki alaný için DES þifreleme destekleyecek þekilde yapýlandýrýlýr.

Belirli hizmetleri yalnýzca DES þifrelemesi mi DES þifreleme hala ortam veya onay gerekip gerekmediðini denetleyin öneririz. Hizmeti kullanabilir RC4 þifrelemesi veya AES þifreleme veya satýcý için daha güçlü þifreleme olan kimlik doðrulama alternatif olup olmadýðýný denetlemek olup olmadýðýný denetleyin.

düzeltme978055  (http://support.microsoft.com/kb/978055/ ) Windows Server 2008 R2 tabanlý etki alaný denetleyicileri Windows Server 2003 çalýþtýran etki alaný denetleyicileri çoðaltýlan þifreleme türü bilgileri doðru þekilde iþlemek gereklidir. Aþaðýda daha fazla bilgi bölümüne bakýn.

1. Uygulama yalnýzca DES þifreleme kullanmak için kodlanmýþ olup olmadýðýný belirler. Ancak, varsayýlan ayarlarý Windows 7 çalýþtýran istemciler veya anahtar daðýtým merkezleri (KDCs) devre dýþýdýr.
   
   Bu sorundan etkilenip etkilenmediðini denetlemek için lütfen bazý að izleme toplayýn ve aþaðýdaki örnek izleme benzer izlemeleri için denetleyin:

   Frame 1 {TCP:48, IPv4:47}    <SRC IP>   <DEST IP>  KerberosV5  KerberosV5:TGS Request Realm: CONTOSO.COM Sname: HTTP/<hostname>.<FQDN>
   
   Frame 2 {TCP:48, IPv4:47}    <DEST IP>  <SRC IP>   KerberosV5  KerberosV5:KRB_ERROR  - KDC_ERR_ETYPE_NOSUPP (14) 
   	
   0.000000  {TCP:48, IPv4:47}  <source IP> <destination IP> KerberosV5    KerberosV5:TGS Request Realm: <fqdn> Sname: HTTP/<hostname>.<fqdn> 
          - Etype: 
         + SequenceOfHeader: 
         + EType: aes256-cts-hmac-sha1-96 (18)
         + EType: aes128-cts-hmac-sha1-96 (17)
         + EType: rc4-hmac (23)
         + EType: rc4-hmac-exp (24)
         + EType: rc4 hmac old exp (0xff79)
        + TagA: 
        + EncAuthorizationData:
   

2. Kullanýcý hesabý veya bilgisayar hesabýnýn yalnýzca DES þifrelemesi için yapýlandýrýlmýþ olup olmadýðýný belirler.
   
   "Active Directory Kullanýcýlarý ve bilgisayarlarý" ek bileþeninde, kullanýcý hesabý özellikleri ve ardýndan onay olup açýnBu hesap için Kerberos DES þifreleme türlerini kullanseçeneði altýnda ayarlanýrHesapSEKME:.

If you conclude that you are affected by this issue and that you have to turn on the DES encryption type for Kerberos authentication, enable the following Group Policies to apply the DES encryption type to all computers that are running Windows 7 or Windows Server 2008 R2:

1. In the Group Policy Management Console (GPMC), locate the following location:
   Computer Configuration\ Windows Settings\ Security Settings\ Local Policies\ Security Options
2. Seçmek için týklatýnNetwork security: Configure encryption types allowed for KerberosSeçenek.
3. Click to selectDefine these policy settingsand all the six check boxes for the encryption types.
4. ' I týklatýnTamam.. Close the GPMC.

NOT:The policy sets theSupportedEncryptionTypesregistry entry to a value of0x7FFFFFFF. TheSupportedEncryptionTypesregistry entry is at the following location:Depending on the scenario, you may have to set this policy at the domain level to apply the DES encryption type to all clients that are running Windows 7 or Windows Server 2008 R2. Or, you may have to set this policy at the organizational unit (OU) of the domain controller for the domain controllers that are running Windows Server 2008 R2.

The DES-only application compatibility issues are encountered in the following two configurations:

• The calling application is hardcoded for only DES encryption.
• The account that runs the service is configured to use only DES encryption.

The following encryption type criteria must be satisfied for Kerberos authentication to work:

1. A common type exists between the client and the domain controller for the authenticator on the client.
2. A common type exists between the domain controller and the resource server to encrypt the ticket.
3. A common type exists between the client and the resource server for the session key.

Consider the following situation:In this situation, the criteria 1 is satisfied by RC4 encryption, and the criteria 2 is satisfied by DES encryption. The third criterion fails because the server is DES-only and because client does not support DES.

The hotfix 978055 must be installed on each Windows Server 2008 R2-based domain controller if the following conditions are true in the domain:

• There are some DES-enabled user or computer accounts.
• In the same domain, there is one or more domain controllers that are running Windows 2000 Server, Windows Server 2003, or Windows Server 2003 R2.

NOT:

• Hotfix 978055 is required for the Windows Server 2008 R2-based domain controllers to correctly handle encryption type information that is replicated from the domain controllers that are running Windows Server 2003.
• The Windows Server 2008-based domain controllers do not require this hotfix.
• This hotfix is not required if the domain has only Windows Server 2008-based domain controllers.

Daha fazla bilgi için, Microsoft Bilgi Bankasý'ndaki makaleyi görüntülemek üzere aþaðýdaki makale numarasýný týklatýn::