Забележка
Важно Някои версии на Microsoft Windows са достигнали края на поддръжката. Имайте предвид, че някои версии на Windows може да се поддържат след последната крайна дата на ОС, когато са налични Актуализации за разширена защита (ESU). Вижте ЧЗВ за жизнен цикъл - Разширени Актуализации на защитата за списък с продукти, предлагащи ESU.
Регистър на промените
| Промяна на датата | Описание на промяната |
|---|---|
| 1 август 2024 г. |
|
| 5 август 2024 г. |
|
| 6 август 2024 г. |
|
Съдържание
- Обобщение
- Предприемане на действие
- Събития, добавени от тази актуализация
- Конфигурации
- Често задавани въпроси
- Препратки
Обобщение
Актуализациите на Windows от или след 9 юли 2024 г. адресират уязвимост на защитата в протокола за потребителска услуга за отдалечено удостоверяване с външно избиране (RADIUS), свързана с проблеми с MD5 конфликт. Поради слаби проверки за цялост в MD5 атакуващият може да подправя пакетите, за да получи неупълномощен достъп. Уязвимостта MD5 прави базирания на протокола UDP трафик RADIUS трафик по интернет незащитен срещу фалшифициране или промяна на пакети по време на пренос.
За повече информация относно тази уязвимост вижте CVE-2024-3596 и техническия документ РАДИУС И MD5 КОНФЛИКТНИ АТАКИ.
БЕЛЕЖКА Тази уязвимост изисква физически достъп до мрежата RADIUS и сървъра за мрежови правила (NPS). Следователно клиентите, които имат защитени мрежи RADIUS, не са уязвими. Освен това уязвимостта не се прилага, когато RADIUS комуникацията се осъществява през VPN.
Предприемане на действие
За да ви помогнем да защитите вашата среда, ви препоръчваме да разрешите следните конфигурации: За повече информация вж. раздела "Конфигурации ".
|
|---|
Събития, добавени от тази актуализация
За повече информация вж. раздела "Конфигурации ".
Забележка
Забележка Тези ИД на събития се добавят към NPS сървъра от актуализациите на Windows от или след 9 юли 2024 г.
Идентификатор на събитие: 4418
Пакетът Access-Request е отхвърлен, тъй като съдържа атрибута Proxy-State , но липсва атрибутът Message-Authenticator . Помислете за промяна на клиента RADIUS, така че да включва атрибута Message-Authenticator . Или, като алтернатива, добавете изключение за RADIUS клиента, като използвате конфигурацията limitProxyState .
| Регистър на събитията | Система |
|---|---|
| Тип събитие | Грешка |
| Източник на събитие | NPS |
| ИД на събитие | 4418 |
| Текст на събитие | Получено е Access-Request съобщение от ip/име> на клиент< на RADIUS, съдържащо атрибут Proxy-State, но то не включва атрибут Message-Authenticator. В резултат на това заявката е отхвърлена. Атрибутът Message-Authenticator е задължителен от съображения за сигурност. Вижте https://support.microsoft.com/help/5040268, за да научите повече. |
Идентификатор на събитие: 4419
Това е събитие за проверка за пакети с искане за достъп без атрибута Message-Authenticator при наличие на Proxy-State. Помислете за промяна на клиента RADIUS, така че да включва атрибута Message-Authenticator . Пакетът RADIUS ще бъде пуснат, след като конфигурацията limitproxystate е разрешена.
| Регистър на събитията | Система |
|---|---|
| Тип събитие | Предупреждение |
| Източник на събитие | NPS |
| ИД на събитие | 4419 |
| Текст на събитие | Получено е Access-Request съобщение от ip/име> на клиент< на RADIUS, съдържащо атрибут Proxy-State, но то не включва атрибут Message-Authenticator. Искането в момента е разрешено, тъй като limitProxyState е конфигуриран в режим на проверка. Вижте https://support.microsoft.com/help/5040268, за да научите повече. |
Идентификатор на събитие: 4420
Това е събитие за проверка на пакети за отговор в RADIUS, получени без атрибута Message-Authenticator в прокси сървъра. Помислете за промяна на указания RADIUS сървър за атрибута Message-Authenticator . Пакетът RADIUS ще бъде пуснат, след като конфигурацията requiremsgauth е разрешена.
| Регистър на събитията | Система |
|---|---|
| Тип събитие | Предупреждение |
| Източник на събитие | NPS |
| ИД на събитие | 4420 |
| Текст на събитие | RADIUS прокси сървърът получи отговор от ip/name> на сървъра< с липсващ атрибут Message-Authenticator. В момента отговорът е разрешен, тъй като requireMsgAuth е конфигуриран в режим на проверка. Вижте https://support.microsoft.com/help/5040268, за да научите повече. |
Идентификатор на събитие: 4421
Това събитие се записва по време на стартиране на услугата, когато препоръчителните настройки не са конфигурирани. Обмислете разрешаването на настройките, ако мрежата RADIUS е незащитена. За защитени мрежи тези събития могат да бъдат игнорирани.
| Регистър на събитията | Система |
|---|---|
| Тип събитие | Предупреждение |
| Източник на събитие | NPS |
| ИД на събитие | 4421 |
| Текст на събитие | Конфигурацията RequireMsgAuth и/или limitProxyState е в <режим на деактивиране/проверка> . Тези настройки трябва да бъдат конфигурирани в режим на разрешаване от съображения за сигурност. Вижте https://support.microsoft.com/help/5040268, за да научите повече. |
Конфигурации
Конфигуриране на изпращане на атрибута Message-Authenticator във всички пакети Access-Request на сървъра
Тази конфигурация позволява на NPS прокси сървъра да започне да изпраща атрибута Message-Authenticator във всички пакети Access-Request . За да разрешите тази конфигурация, използвайте един от следните методи:
Метод 1: Използване на NPS конзолата на Microsoft Management (MMC)
За да използвате NPS MMC, изпълнете следните стъпки:
- Отворете NPS потребителския интерфейс (ПИ) на сървъра.
- Отворете отдалечените групи на Radius сървъри.
- Изберете Radius Server.
- Отидете на Удостоверяване/Счетоводство.
- Щракнете, за да поставите отметка в квадратчето за атрибут Message-Authenticator .
Метод 2: Използвайте командата netsh
За да използвате netsh, изпълнете следната команда:
Забележка
netsh nps set remoteserver remoteservergroup = <server group name> address = <server address> requireauthattrib = yes
За повече информация вижте Команди на група за отдалечен RADIUS сървър.
Конфигуриране на проверка на атрибута Message-Authenticator във всички пакети на искане за достъп на клиента
Тази конфигурация изисква атрибута Message-Authenticator във всички пакети на искане за достъп и изпуска пакета, ако липсва.
Метод 1: Използване на NPS конзолата на Microsoft Management (MMC)
За да използвате NPS MMC, изпълнете следните стъпки:
- Отворете NPS потребителския интерфейс (ПИ) на сървъра.
- Клиенти с Open Radius.
- Изберете Radius Client.
- Отидете в разширени настройки.
- Щракнете, за да поставите отметка в полето "Искане за достъп" Съобщенията трябва да съдържат квадратчето за отметка за атрибута message-authenticator .
За повече информация вж. "Конфигуриране на RADIUS клиенти".
Метод 2: Използване на командата netsh
За да използвате netsh, изпълнете следната команда:
Забележка
netsh nps set client name = <client name> requireauthattrib = yes
За повече информация вижте Команди на група за отдалечен RADIUS сървър.
Конфигуриране на limitproxystate за всички клиенти
Тази конфигурация позволява на NPS сървъра да прекрати потенциално уязвими пакети Access-Request , които съдържат атрибут Proxy-State , но не включват атрибут Message-Authenticator . Тази конфигурация поддържа три режима:
- Проверка
- Разрешаване
- Disable
В режим на проверка се регистрира предупредително събитие (ИД на събитие: 4419), но искането все още се обработва. Използвайте този режим, за да идентифицирате несъвместимите обекти, изпращащи исканията.
Използвайте командата netsh , за да конфигурирате, разрешите и добавите изключение, ако е необходимо.
За да конфигурирате клиенти в режим на проверка , изпълнете следната команда:
Забележка
netsh nps set limitproxystate all = "audit"
За да конфигурирате клиенти в режим на разрешаване , изпълнете следната команда:
Забележка
netsh nps set limitproxystate all = "enable"
За да добавите изключение за изключване на клиент от validation limitProxystate , изпълнете следната команда:
Забележка
netsh nps set limitproxystate name = <client> name exception = "Yes"
Конфигуриране на requiremsgauth за отдалечени сървъри
Тази конфигурация позволява на NPS прокси сървъра да пуска съобщения с потенциално уязвим отговор без атрибута Message-Authenticator . Тази конфигурация поддържа три режима:
- Проверка
- Разрешаване
- Disable
В режим на проверка се регистрира предупредително събитие (ИД на събитие: 4420), но искането все още се обработва. Използвайте този режим, за да идентифицирате несъвместимите обекти, изпращащи отговорите.
Използвайте командата netsh , за да конфигурирате, разрешите и добавите изключение, ако е необходимо.
За да конфигурирате сървърите в режим на проверка , изпълнете следната команда:
Забележка
netsh nps setrequiremsgauthall = "audit"За да разрешите конфигурации за всички сървъри, изпълнете следната команда:
Забележка
netsh nps set requiremsgauth all
= "enable"За да добавите изключение, с което да изключите сървър от requireauthmsg проверка, изпълнете следната команда:
Забележка
netsh nps set requiremsgauth remoteservergroup = <remote server group> name = server address> exception< = "yes"
Често задавани въпроси
Какво трябва да се направи, ако се наблюдават неуспешни VPN заявки след активиране на конфигурацията поради пропускане на съобщението?
Проверете събитията на NPS модула за свързани събития. Обмислете добавянето на изключения или корекции на конфигурацията за засегнатите клиенти/сървъри.
Необходими ли са някакви промени в конфигурацията или някакво действие, ако мрежата RADIUS е защитена?
Не, конфигурациите, дискутирани в тази статия, се препоръчват за незащитени мрежи.
Справки
Отказ от отговорност за информация от трети лица
Продуктите на други разработчици, обсъждани в тази статия, са произведени от независими от Microsoft фирми. Не даваме никаква подразбираща се или друга гаранция относно производителността или надеждността на тези продукти.
Предоставяме информация за връзка с трети лица, за да ви помогнем да намерите техническа поддръжка. Тази информация за връзка може да се промени без предизвестие. Не гарантираме точността на тази информация за връзка на трети лица.