المقدمة
تعلن Microsoft عن توفر ميزة جديدة، الحماية الموسعة للمصادقة (EPA)، على النظام الأساسي ل Windows. تعمل هذه الميزة على تحسين حماية بيانات الاعتماد ومعالجتها عند مصادقة اتصالات الشبكة باستخدام مصادقة Windows المتكاملة (IWA).
لا يوفر التحديث نفسه الحماية مباشرة من هجمات معينة مثل إعادة توجيه بيانات الاعتماد ولكنه يسمح للتطبيقات بالاشتراك في EPA. يطلع هذا النصائح المطورين ومسؤولي النظام على هذه الوظيفة الجديدة وكيف يمكن نشرها للمساعدة في حماية بيانات اعتماد المصادقة.
لمزيد من المعلومات، راجع 973811 Microsoft Security Advisory.
مزيد من المعلومات
يعدل تحديث الأمان هذا واجهة موفر دعم الأمان (SSPI) لتحسين الطريقة التي تعمل بها مصادقة Windows بحيث لا تتم إعادة توجيه بيانات الاعتماد بسهولة عند تمكين IWA.
عند تمكين EPA، تكون طلبات المصادقة مرتبطة بكل من الأسماء الأساسية للخدمة (SPN) للخادم الذي يحاول العميل الاتصال به وبقناة أمان طبقة النقل الخارجية (TLS) التي تحدث عبرها مصادقة IWA.
يضيف التحديث إدخال سجل جديد لإدارة الحماية الموسعة:
-
قم بتعيين قيمة Registry SuppressExtendedProtection .
مفتاح التسجيل
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
القيمة
SuppressExtendedProtection
النوع
Reg_dword
بيانات
0 تمكين تقنية الحماية.
1 تم تعطيل "الحماية الموسعة".
3 يتم تعطيل "الحماية الموسعة" ويتم أيضا تعطيل روابط القنوات المرسلة بواسطة Kerberos، حتى إذا كان التطبيق يوفرها.القيمة الافتراضية: 0x0
ملاحظة يتم وصف المشكلة التي تحدث عند تمكين EPA بشكل افتراضي في فشل المصادقة من موضوع خوادم NTLM أو Kerberos غير Windows على موقع Microsoft على الويب.
-
تعيين قيمة السجل LmCompatibilityLevel .
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel إلى 3. هذا مفتاح موجود يمكن مصادقة NTLMv2. تنطبق EPA فقط على بروتوكولات مصادقة NTLMv2 وKerberos والملخص والتفاوض ولا تنطبق على NTLMv1.
ملاحظة يجب إعادة تشغيل الكمبيوتر بعد تعيين قيم التسجيل SuppressExtendedProtectionوLmCompatibilityLevel على كمبيوتر Windows.
تمكين الحماية الموسعة
ملاحظة بشكل افتراضي، يتم تمكين الحماية الموسعة وNTLMv2 في جميع الإصدارات المدعومة من Windows. يمكنك استخدام هذا الدليل للتحقق من أن هذه هي الحالة.
هام يحتوي هذا القسم أو الأسلوب أو المهمة على خطوات تخبرك بكيفية تعديل السجل. ومع ذلك، قد تحدث مشكلات خطيرة إذا قمت بتعديل السجل بشكل غير صحيح. لذلك، تأكد من اتباع هذه الخطوات بعناية. لمزيد من الحماية، قم بنسخ السجل احتياطيا قبل تعديله. بعد ذلك، يمكنك استعادة السجل في حالة حدوث مشكلة. لمزيد من المعلومات حول كيفية إجراء نسخ احتياطي للسجل واستعادته، انقر فوق رقم المقالة التالي لعرض المقالة في Microsoft Knowledge Base:
-
KB322756 كيفية نسخ السجل احتياطيا واستعادته في Windows
لتمكين "الحماية الموسعة" بنفسك بعد تنزيل وتثبيت تحديث الأمان للنظام الأساسي الخاص بك، اتبع الخطوات التالية:
-
ابدأ تشغيل محرر السجل. للقيام بذلك، انقر فوق بدء، وانقر فوق تشغيل، واكتب regedit في المربع فتح ، ثم انقر فوق موافق.
-
حدد موقع المفتاح الفرعي للسجل التالي ثم انقر فوقه:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
-
تحقق من وجود قيم التسجيل SuppressExtendedProtectionوLmCompatibilityLevel .
إذا لم تكن قيم التسجيل موجودة، فاتبع الخطوات التالية لإنشائها:-
مع تحديد مفتاح التسجيل الفرعي المدرج في الخطوة 2، في القائمة تحرير ، أشر إلى جديد، ثم انقر فوق قيمة DWORD.
-
اكتب SuppressExtendedProtection، ثم اضغط على Enter.
-
مع تحديد مفتاح التسجيل الفرعي المدرج في الخطوة 2، في القائمة تحرير ، أشر إلى جديد، ثم انقر فوق قيمة DWORD.
-
اكتب LmCompatibilityLevel، ثم اضغط على Enter.
-
-
انقر لتحديد قيمة سجل SuppressExtendedProtection .
-
في القائمة تحرير ، انقر فوق تعديل.
-
في مربع بيانات القيمة ، اكتب 0، ثم انقر فوق موافق.
-
انقر لتحديد قيمة سجل LmCompatibilityLevel .
-
في القائمة تحرير ، انقر فوق تعديل.
ملاحظه تغير هذه الخطوة متطلبات مصادقة NTLM. يرجى مراجعة المقالة التالية في Microsoft Knowledge Base للتأكد من أنك على دراية بهذا السلوك.KB239869 كيفية تمكين مصادقة NTLM 2
-
في مربع بيانات القيمة ، اكتب 3، ثم انقر فوق موافق.
-
إنهاء محرر السجل.
-
إذا قمت بإجراء هذه التغييرات على كمبيوتر Windows، فيجب إعادة تشغيل الكمبيوتر قبل أن تسري التغييرات.
