KB5008382 –Проверка на уникалността за основното потребителско име, основното име на услугата и псевдонима на основното име на услугата (CVE-2021-42282)

Уникалност на основно потребителско име и основно име на услуга

Тази функция гарантира, че SPN са уникални в гора, което предотвратява добавянето на дублирани SPN от компютри и домейнови контролери. Тази функционалност вече съществува в Windows 8.1 и по-нови версии и е описана в SPN и UPN уникалност.

Уникалност на SPN псевдоним

Съществуващият атрибут AD дефинира псевдонимите за много често срещани класове услуги към еквивалентния HOST SPN за услуги като CIFS, HTTP и RPC. Атрибутът AD се дефинира като списък в контекста на наименуване на конфигурация на структура на Active Directory. Потребител, който няма права на администратор, може да не присвои повторно SPN, който е неявно присвоен на друг акаунт с помощта на този псевдоним.

Забележка Тази проверка е внедрена в допълнение към проверката за уникалност на UPN и SPN.

Проверките за уникалност на псевдонимите на SPN са включена по подразбиране. Можете да изключите тези проверки, като промените^21-ия знак на атрибута dSHeuristics , който се интерпретира като поредица от знаци. Атрибутът dSHeuristics не съществува по подразбиране, но можете да го добавите под отличаващото име "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=support,DC=local". Възможните настройки и съответните им битове стойности са както следва:

• Стойност 0 – означава Налагане на всички (не са зададени битове 000) по подразбиране

• Стойност 1 – означава забраняване на проверката за уникалност на UPN (набор бит 0 – 001)

• Стойност 2 – означава забраняване на проверката за уникалност на SPN (бит 1 – 010)

• Стойност 3 – означава забраняване на проверката за уникалност на UPN И SPN уникалност. (бит 0 и 1 набор – 011)

• Стойност 4 – означава забраняване на проверката за уникалност на псевдоними на SPN (набор бит 2 – 100)

• Стойност 5 – означава забраняване на псевдонима на SPN И проверката за UPN уникалност (бит 2 и бит 0, зададен със 101)

• Стойност 6 – означава забраняване на spn псевдоним и SPN уникалност (бит 2 и бит 1 набор – 110)

• Стойност 7 – означава "Забрани всички" (всички битове са зададени 111)

Пример: Ако нямате други настройки за dSHeuristics, разрешени във вашата гора, и искате да забраните само проверката за уникалност на псевдоними на SPN, атрибутът dSHeuristics трябва да бъде зададен на: "000000000100000000024"

Знаците, които са зададени в този случай, са:
^10-и знак: Трябва да бъде зададен на 1, ако атрибутът dSHeuristics е най-малко 10 знака
^20-и знак: Трябва да се зададе на 2, ако атрибутът dSHeuristics е поне 20 знака
21^st char: Трябва да се зададе стойност в списъка по-горе; стойност 4 означава Забраняване на уникалността на псевдоними на SPN.

Забележка Ако атрибутът dSHeuristics вече е зададен, не забравяйте да обедините съществуващите настройки в новия низ на атрибута dSHeuristics и да се уверите, че 10-ти, 20-ият и 21-ия знак са зададени по-горе. Другите знаци, които вече са зададени, трябва да останат непроменени.

За повече информация относно конфигурирането на знаците за dSHeuristics вижте следните документи:

• Спецификация на атрибута dSHeuristics

• dSHeuristics Резюме на атрибута и подробности за Version-Specific на операционната система

Още информация

Какво е основно име на услуга?

Основно име на услуга (SPN) е уникален идентификатор за екземпляр на услуга. Удостоверяването Kerberos използва SPN за свързване на екземпляр на услуга с акаунт за влизане на услуга. Това позволява на клиентско приложение да поиска услугата да удостовери акаунт дори ако клиентът няма името на акаунта. Вижте Основни имена на услуги за повече подробности.

Какво е основно потребителско име?

Основното потребителско име (UPN) е име за влизане в имейл стил за потребител, базирано на стандартния за интернет RFC 822. За повече подробности вижте атрибута User-Principal-Name.