KB5014754: Změny ověřování na základě certifikátů v řadičích domény systému Windows

Nenašlo se žádné silné mapování certifikátů a certifikát neměl novou příponu identifikátoru zabezpečení (SID), kterou služba KDC mohla ověřit.

Certifikát byl uživateli vydán předtím, než uživatel existoval ve službě služba Active Directory, a nepodařilo se najít žádné silné mapování. Tato událost se zaprotokoluje jenom v případě, že je služba KDC v režimu kompatibility.

Identifikátor SID obsažený v nové příponě uživatelského certifikátu neodpovídá identifikátoru SID uživatele, což znamená, že certifikát byl vydán jinému uživateli.

Poznámka Některá pole, například vydavatel, předmět a sériové číslo, se vykazují ve formátu pro předání. Tento formát je nutné obrátit při přidání řetězce mapování do atributu altSecurityIdentities . Chcete-li například přidat mapování X509IssuerSerialNumber k uživateli, vyhledejte v polích "Issuer" a "Serial Number" certifikát, který chcete namapovat na uživatele. Viz ukázkový výstup níže.

• Vystavitel: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Sériové číslo: 2B0000000011AC0000000012

Pak aktualizujte atribut altSecurityIdentities uživatele ve službě služba Active Directory následujícím řetězcem:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Pokud chcete tento atribut aktualizovat pomocí PowerShellu, můžete použít následující příkaz. Nezapomeňte, že ve výchozím nastavení mají oprávnění k aktualizaci tohoto atributu pouze správci domény.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Všimněte si, že při obrácení hodnoty SerialNumber je nutné zachovat pořadí bajtů. To znamená, že obrácení sériového čísla "A1B2C3" by mělo mít za následek řetězec "C3B2A1" a ne "3C2B1A". Další informace najdete v tématu Postupy: Mapování uživatele na certifikát pomocí všech metod dostupných v atributu altSecurityIdentities .

Po instalaci aktualizací Windows z 10. května 2022 budou zařízení v režimu kompatibility. Pokud je možné certifikát silně namapovat na uživatele, proběhne ověření podle očekávání. Pokud je možné certifikát na uživatele namapovat jen slabě, proběhne ověření podle očekávání. Zpráva upozornění se ale zaprotokoluje, pokud certifikát není starší než uživatel. V případě, že je certifikát starší než uživatel a klíč registru antedatování certifikátu není k dispozici nebo je rozsah mimo kompenzaci backdatování, ověření se nezdaří a do protokolu se zapíše chybová zpráva.  Pokud je nakonfigurován klíč registru Certificate Backdated, zaznamená do protokolu událostí varovnou zprávu, pokud data spadají do kompenzace backdatování.

Po instalaci aktualizací Windows z 10. května 2022 sledujte jakoukoli varovnou zprávu, která by se mohla zobrazit po měsíci nebo déle. Pokud se nezobrazí žádné varovné zprávy, důrazně doporučujeme povolit režim úplného vynucení na všech řadičích domény, které používají ověřování na základě certifikátů. K povolení režimu úplného vynucení můžete použít klíč registru služby KDC .

Pokud se neaktualizuje na režim auditování nebo režim vynucení pomocí klíče registru StrongCertificateBindingEnforcement výše, řadiče domény se při instalaci aktualizace zabezpečení Windows z února 2025 přesunou do režimu úplného vynucení. Ověření bude odepřeno, pokud certifikát nelze silně namapovat. Možnost vrátit se zpět do režimu kompatibility zůstane zachována až do instalace aktualizace zabezpečení Windows z 9. září 2025. Po tomto datu už nebude klíč registru StrongCertificateBindingEnforcement podporován

Pokud ověřování založené na certifikátech spoléhá na slabé mapování, které nelze přesunout z prostředí, můžete řadiče domény uvést do zakázaného režimu pomocí nastavení klíče registru. Microsoft to nedoporučuje a 11. dubna 2023 režim vypnutí odebere.

Jakmile na Server 2019 a vyšší nainstalujete aktualizace Windows z 13. února 2024 nebo novější a podporované klienty s nainstalovanou volitelnou funkcí Nástrojů pro vzdálenou správu serveru, mapování certifikátů v uživatelích & počítačích služby služba Active Directory ve výchozím nastavení vybere silné mapování pomocí X509IssuerSerialNumber místo slabého mapování pomocí X509IssuerSubject. Nastavení lze stále změnit podle potřeby.

Příznaky

Společnost Microsoft obdržela zprávy, že nastavení "Zpracovat i v případě, že se objekty Zásady skupiny nezměnily" v objektu Zásady skupiny Konfigurace> počítače –šablony pro> správusystému>Zásady skupiny>Konfigurace zpracování zásad registru" může občas kolidovat s mapováním založeným na názvech v řadičích domény.

Alternativní řešení

Chcete-li tento problém obejít, zakažte nastavení "Zpracovat i v případě, že se objekty Zásady skupiny nezměnily" na řadičích domény. Proveďte to pouze v případě, že potřebujete mapování na základě názvů definovaná v Zásady skupiny "Systém>KDC> prošablony pro správu>konfigurace počítače> –Povolit silná mapování certifikátů na základě názvu". Další informace najdete v tématu Povolení silného mapování na základě názvů ve scénářích státní správy.

Další krok

Tato hlášení prošetřujeme a poskytneme další informace, jakmile budou k dispozici.

• Pomocí protokolu Kerberos Operational na příslušném počítači určete, kterému řadiči domény se nedaří přihlášení. Přejděte do části Prohlížeč událostíAplikace>a služby, protokoly\Microsoft \Windows\Security-Kerberos\Operational.
• Vyhledejte relevantní události v protokolu událostí systému na řadiči domény, u kterého se účet pokouší ověřit.
• Pokud je certifikát starší než účet, znovu ho vydejte nebo přidejte zabezpečené mapování altSecurityIdentities k účtu (viz Mapování certifikátů).
• Pokud certifikát obsahuje příponu identifikátoru SID, ověřte, zda tento identifikátor SID odpovídá účtu.
• Pokud se certifikát používá k ověřování několika různých účtů, bude každý účet potřebovat samostatné mapování altSecurityIdentities .
• Pokud certifikát nemá zabezpečené mapování k účtu, přidejte ho nebo ponechte doménu v režimu kompatibility, dokud nebude možné nějaké přidat.

Příkladem mapování certifikátů TLS je použití intranetové webové aplikace služby IIS.

• Po instalaci ochrany CVE-2022-26391 a CVE-2022-26923 tyto scénáře ve výchozím nastavení používají protokol S4U (Kerberos Certificate Service For User) pro mapování a ověřování certifikátů.
• V protokolu Kerberos Certificate S4U proudí požadavek na ověření z aplikačního serveru do řadiče domény, nikoli z klienta do řadiče domény. Proto budou příslušné události na aplikačním serveru.

Tento klíč registru nebude podporovaný po instalaci aktualizací pro Windows vydaných v září 2025 nebo později.

Pokud serverová aplikace vyžaduje ověření klienta, Schannel se automaticky pokusí namapovat certifikát, který klient TLS poskytuje na uživatelský účet. Uživatele, kteří se přihlašují pomocí klientského certifikátu, můžete ověřovat vytvořením mapování, které propojuje informace o certifikátu s uživatelským účtem systému Windows. Po vytvoření a povolení mapování certifikátů serverová aplikace automaticky přidruží tohoto uživatele k příslušnému uživatelskému účtu systému Windows pokaždé, když klient předloží klientský certifikát.

Schannel se pokusí zmapovat každou metodu mapování certifikátů, kterou jste povolili, dokud nebude jedna úspěšná. Schannel se nejprve pokusí namapovat mapování Service-for-User-to-Self (S4U2Self). Mapování předmětu/vystavitele, vystavitele a hlavního názvu uživatele (UPN) je teď považované za slabé a ve výchozím nastavení je zakázané. Maskovaný součet vybraných možností určuje seznam dostupných metod mapování certifikátů.

Výchozí klíč registru SChannel byl 0x1F a nyní je 0x18. Pokud dojde k selhání ověřování u serverových aplikací založených na kanálu Schannel, doporučujeme provést test. Přidejte nebo upravte hodnotu klíče registru CertificateMappingMethods na řadiči domény, nastavte ji na 0x1F a zjistěte, jestli se tím problém vyřeší. Další informace najdete v protokolech systémových událostí na řadiči domény, jestli tam nejsou nějaké chyby uvedené v tomto článku. Mějte na paměti, že změnou hodnoty klíče registru SChannel zpět na předchozí výchozí (0x1F) se vrátíte k používání slabých metod mapování certifikátů.

Další zdroje informací a podporu najdete v části Další zdroje informací.

Po instalaci aktualizací, které řeší CVE-2022-26931 a CVE-2022-26923, může ověření selhat v případech, kdy jsou uživatelské certifikáty starší než čas vytvoření uživatele. Tento klíč registru umožňuje úspěšné ověření, pokud ve vašem prostředí používáte slabá mapování certifikátů a čas certifikátu je před časem vytvoření uživatele v nastaveném rozsahu. Tento klíč registru neovlivňuje uživatele ani počítače se silným mapováním certifikátů, protože čas certifikátu a čas vytvoření uživatele se pomocí silného mapování certifikátů nekontrolují. Tento klíč registru nemá žádný vliv, pokud je vlastnost StrongCertificateBindingEnforcement nastavená na hodnotu 2.

Použití tohoto klíče registru je dočasným řešením pro prostředí, která to vyžadují, a je potřeba ho brát s opatrností. Použití tohoto klíče registru znamená pro vaše prostředí následující:

• Tento klíč registru funguje jenom v režimu kompatibility počínaje aktualizacemi vydanými 10. května 2022. Autentizace bude povolena v rámci backedatovaného kompenzačního offsetu, ale upozornění protokolu událostí bude zaznamenáno za slabou vazbu.
• Povolením tohoto klíče registru umožníte ověření uživatele v případě, že čas certifikátu nastane před časem vytvoření uživatele v nastaveném rozsahu jako slabé mapování. Slabá mapování nebudou podporována po instalaci aktualizací pro Windows vydaných v září 2025 nebo později.

Spuštěním následujícího příkazu certutil vyloučíte certifikáty šablony uživatele ze získání nového rozšíření.

1. Přihlaste se k serveru certifikační autority nebo ke klientovi Windows 10 připojenému k doméně pomocí podnikového správce nebo pomocí ekvivalentních přihlašovacích údajů.
2. Otevřete příkazový řádek a zvolte Spustit jako správce.
3. Spusťte certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Zakázáním přidávání tohoto rozšíření odeberete ochranu, kterou poskytuje nové rozšíření. Zvažte to až po provedení jedné z následujících akcí:

1. Potvrzujete, že odpovídající certifikáty nejsou přijatelné pro PKINIT (Public Key Cryptography for Initial Authentication) při ověřování protokolem Kerberos na webu KDC
2. Odpovídající certifikáty mají nakonfigurovaná další silná mapování certifikátů

Prostředí, která mají nasazení jiných společností než Microsoft CA, nebudou po instalaci aktualizace Windows z 10. května 2022 chráněna pomocí nové přípony SID. Dotčení zákazníci by měli tento problém vyřešit ve spolupráci s dodavateli příslušných certifikačních autorit nebo by měli zvážit použití jiných silných mapování certifikátů popsaných výše.

Další zdroje informací a podporu najdete v části Další zdroje informací.

Ne, prodloužení není vyžadováno. Certifikační autorita se bude dodávat v režimu kompatibility. Pokud chcete silné mapování s rozšířením ObjectSID, budete potřebovat nový certifikát.

V aktualizaci Windows z 11. února 2025 se zařízení, která ještě nejsou ve vynuceném (hodnota registru StrongCertificateBindingEnforcement je nastavená na 2), přesunou do vynucování. Pokud je ověření odepřeno, zobrazí se událost s ID 39 (nebo ID události 41 pro systémy Windows Server 2008 R2 SP1 a Windows Server 2008 SP2). V této fázi budete mít možnost nastavit hodnotu klíče registru zpět na hodnotu 1 (režim kompatibility).

V aktualizaci Windows z 9. září 2025 už se hodnota registru StrongCertificateBindingEnforcement nebude podporovat.