KB4034879: Použijte položku registru LdapEnforceChannelBinding, aby bylo ověřování LDAP přes SSL/TLS bezpečnější.

Platí pro
Windows Server 2016 Windows Server 2016 Essentials Windows Server 2016 Standard Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Foundation Windows Server 2008 Standard Windows Server 2008 for Itanium-Based Systems Windows Server 2008 Web Edition Windows Server 2008 Enterprise Windows Server 2008 Datacenter Windows 10, version 1703, all editions Windows Server 2022 Windows Server 2019

Shrnutí

CVE-2017-8563 zavádí nastavení registru, které můžou správci použít k lepšímu zabezpečení ověřování LDAP přes SSL/TLS.

Další informace

Důležité Tato část, metoda nebo úkol obsahuje kroky, které popisují úpravu registru. Pokud byste ale registr upravili nesprávně, mohlo by dojít k vážným problémům. Provádějte proto tento postup pečlivě. Před úpravami registru vytvořte pro zvýšení ochrany zálohu registru. V případě problému pak můžete registr obnovit. Další informace o zálohování a obnovení registru naleznete v následujícím článku znalostní báze znalostní báze Microsoft Knowledge Base:

322756 Postup zálohování a obnovení registru v systému Windows

Aby bylo ověřování LDAP přes SSL\TLS bezpečnější, můžou správci nakonfigurovat následující nastavení registru:

  • Cesta k řadičům domény služby Active Directory Domain Services (AD DS): HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
  • Cesta k serverům služby služba Active Directory Lightweight Directory Services (AD LDS): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<Název instance> LDS\Parametry
  • Hodnota DWORD: Vazba LdapEnforceChannelBinding
  • Hodnota DWORD:0 označuje zakázáno. Ověření vazby kanálu se neprovádí. Toto je chování všech serverů, které nebyly aktualizovány.
  • Hodnota DWORD:1 označuje povoleno, je-li podporováno. Všichni klienti, kteří používají verzi Windows, která byla aktualizována tak, aby podporovala tokeny vazeb kanálů (CBT), musí poskytnout informace o vazbě kanálu serveru. Klienti, kteří používají verzi systému Windows, která nebyla aktualizována tak, aby podporovala CBT, tak činit nemusí. Jedná se o přechodnou možnost, která umožňuje kompatibilitu aplikací.
  • Hodnota DWORD:2 označuje povoleno, vždy. Všichni klienti musí poskytnout informace o vazbě kanálu. Server odmítne žádosti o ověření od klientů, kteří tak neučiní.

Poznámky

  • Před povolením tohoto nastavení v řadiči domény je nutné klienty nainstalovat aktualizaci zabezpečení popsanou v článku CVE-2017-8563. V opačném případě může dojít k problémům s kompatibilitou a dříve fungující žádosti o ověření protokolem LDAP přes SSL/TLS už nemusí fungovat. Ve výchozím nastavení je toto nastavení zakázané.
  • Položka registru LdapEnforceChannelBindings musí být explicitně vytvořena.
  • Server LDAP reaguje dynamicky na změny této položky registru. Po provedení změny registru proto není nutné restartovat počítač.

Pokud chcete maximalizovat kompatibilitu se staršími verzemi operačního systému (Windows Server 2008 a starší verze), doporučujeme povolit toto nastavení s hodnotou 1.

Chcete-li toto nastavení explicitně zakázat, nastavte položku LdapEnforceChannelBinding na hodnotu 0 (nula).

Windows Server 2008 a starších systémech je třeba před instalací chyby CVE-2017-8563 nainstalovat 973811 zabezpečení od Microsoftu Advisory , která je k dispozici KB5021989 v rámci rozšířené ochrany pro ověřování. Pokud nainstalujete chybu CVE-2017-8563 bez KB5021989 na řadič domény nebo instanci služby AD LDS, všechna připojení LDAPS selžou s chybou LDAP 81 – LDAP_SERVER_DOWN.

Další informace najdete v tématu KB4520412.