Požadavky na vazby kanálů LDAP a podepisování LDAP pro Windows (KB4520412) v letech 2020, 2023 a 2024

Platí pro
Windows 10, version 1909, all editions Windows 10, version 1903, all editions Windows 10, version 1809, all editions Windows Server 2019, all editions Windows 10, version 1803, all editions Windows 10, version 1709, all editions Windows 10, version 1703, all editions Windows 10, version 1607, all editions Windows Server 2016, all editions Windows 10 Windows 8.1 Windows Server 2012 R2 Windows Server 2012 Windows 7 Service Pack 1 Windows Server 2008 R2 Service Pack 1 Windows Server 2008 Service Pack 2 Windows Server 2022

Poznámka

  • Aktualizováno 01/03/2025
  • Byly odebrány odkazy na krok ručního povolení. Tento krok byl vyžadován před 14. listopadem 2023 pro Windows Server 2022 a 9. lednem 2024 pro Windows Server 2019.

Úvod

Vazby kanálů LDAP a podepisování LDAP poskytují způsoby, jak zvýšit zabezpečení komunikace mezi klienty LDAP a řadiči domény služba Active Directory. Na řadičích domén služby služba Active Directory existuje sada nebezpečných výchozích konfigurací pro vazby kanálů LDAP a podepisování LDAP, které umožňují klientům LDAP komunikovat s nimi bez vynucení vazeb kanálů LDAP a podepisování LDAP. Řadiče domény služby služba Active Directory by tak mohly být ohroženy zabezpečením z hlediska zvýšení oprávnění.

Tato chyba zabezpečení by mohla umožnit útočníkovi typu MITM úspěšně předat požadavek na ověření na doménový server Microsoft, který nebyl nakonfigurován tak, aby vyžadoval vázání kanálu, podepsání nebo zapečetění příchozích připojení.

Společnost Microsoft doporučuje správcům provést změny posílení zabezpečení popsané v ADV190023.

Dne 10. března 2020 jsme tuto chybu zabezpečení vyřešili poskytnutím následujících možností pro správce, které umožní posílit konfiguraci vazeb kanálů LDAP na řadičích domén služby služba Active Directory:

  • Řadič domény: Požadavky na token vazby kanálu serveru LDAP Zásady skupiny.
  • Události podpisu tokenů vazeb kanálů (CBT) 3039, 3040 a 3041 s odesílatelem události Microsoft-Windows-Active Directory_DomainService v protokolu událostí adresářové služby.

Důležité: Aktualizace z 10. března 2020 a aktualizace v dohledné budoucnosti nezmění výchozí zásady pro podepisování LDAP nebo vazby kanálů LDAP ani jejich ekvivalent v registru na nových nebo stávajících řadičích domény služby služba Active Directory.

Podepisování LDAP Řadič domény: Zásady požadavků na podepisování serveru LDAP už existují ve všech podporovaných verzích Windows. Počínaje systémem Windows Server 2022, 23H2 Edition budou všechny nové verze Windows obsahovat všechny změny popsané v tomto článku.

Proč byla tato změna nutná

Zabezpečení řadičů domény služby služba Active Directory lze výrazně zlepšit konfigurací serveru tak, aby odmítal vazby LDAP SASL (Simple Authentication and Security Layer), které nevyžadují podepsání (ověření integrity), nebo odmítal jednoduché vazby LDAP, které jsou prováděny prostřednictvím připojení s prostým textem (bez šifrování SSL/TLS). SASL může zahrnovat protokoly, jako jsou protokoly Negotiate, Kerberos, NTLM a Digest.

Nepodepsané přenosy v síti jsou náchylné k útokům přehráním (Replay Attacks), při nichž útočník zachytí pokus o ověření a vydání lístku. Narušitel může lístek znovu použít a vydávat se za legitimního uživatele. Nepodepsaný síťový provoz je navíc náchylný k útokům typu Man-in-the-middle (MiTM), při kterých narušitel zachycuje pakety mezi klientem a serverem, pakety mění a poté je předává na server. Pokud k tomu dojde na řadiči Doména služby Active Directory, může útočník způsobit, že server bude dělat rozhodnutí, která jsou založená na falešných žádostech od klienta LDAP. LDAPS používá k propojení klientů a serverů vlastní síťový port. Výchozí port pro LDAP je 389, ale LDAPS používá port 636 a po připojení ke klientovi vytvoří SSL/TLS.

Tokeny vazeb kanálů pomáhají zajistit lepší zabezpečení ověřování LDAP přes SSL/TLS proti útokům typu man-in-the-middle.

Aktualizace z 10. března 2020

Důležité Aktualizace z 10. března 2020 nezměnily výchozí zásady pro podepisování nebo vazby kanálů LDAP ani jejich ekvivalent v registru na nových nebo stávajících řadičích domény služby služba Active Directory.

Aktualizace Windows vydané 10. března 2020 přidaly následující funkce:

  • Do Prohlížeč událostí se protokolují nové události související s vazbou kanálů LDAP. Podrobnosti o těchto událostech naleznete v tabulce 1 a tabulce 2 .
  • Nový řadič domény: Požadavky na tokeny vazeb kanálů serveru LDAP Zásady skupiny ke konfiguraci vazeb kanálů LDAP na podporovaných zařízeních.

Mapování mezi nastavením zásad podepisování LDAP a nastavením registru je zahrnuto následovně:

  • Nastavení zásad: Řadič domény: Požadavky na podepisování serveru LDAP
  • Nastavení registru: LDAPServerIntegrity
  • Datový typ: DWORD
  • Cesta v registru: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Zásady skupiny Nastavení Nastavení registru
Žádné 1
Vyžadovat podepsání 2

Mapování mezi nastavením zásad vazby kanálu LDAP a nastavením registru je zahrnuto následovně:

  • Nastavení zásad: "Řadič domény: Požadavky na token vazby kanálu serveru LDAP"
  • Nastavení registru: Vazba LdapEnforceChannelBinding
  • Datový typ: DWORD
  • Cesta v registru: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
Zásady skupiny Nastavení Nastavení registru
Nikdy 0
Pokud se podporuje 1
Vždy 2

Tabulka 1: Události podepisování LDAP

ID události Popis Aktivační událost
2886 Zabezpečení těchto řadičů domény můžete výrazně zlepšit konfigurací serveru tak, aby vynucoval ověřování podepisování LDAP. Spouští se každých 24 hodin při spuštění nebo spuštění služby, pokud jsou Zásady skupiny nastaveny na Žádné. Minimální úroveň protokolování: 0 nebo vyšší
2887 Zabezpečení těchto řadičů domény lze zlepšit jejich konfigurací tak, aby odmítaly jednoduché žádosti o vazbu LDAP a další žádosti o vazbu, které nezahrnují podepisování LDAP. Spouští se každých 24 hodin, pokud jsou Zásady skupiny nastaveny na Žádné a byla dokončena alespoň jedna nechráněná vazba. Minimální úroveň protokolování: 0 nebo vyšší
2888 Zabezpečení těchto řadičů domény lze zlepšit jejich konfigurací tak, aby odmítaly jednoduché žádosti o vazbu LDAP a další žádosti o vazbu, které nezahrnují podepisování LDAP. Spouští se každých 24 hodin, když jsou Zásady skupiny nastavené na Vyžadovat podepsání a alespoň jedna nechráněná vazba byla odmítnuta. Minimální úroveň protokolování: 0 nebo vyšší
2889 Zabezpečení těchto řadičů domény lze zlepšit jejich konfigurací tak, aby odmítaly jednoduché žádosti o vazbu LDAP a další žádosti o vazbu, které nezahrnují podepisování LDAP. Aktivuje se, když klient nepoužívá podepisování pro vazby v relacích na portu 389. Minimální úroveň protokolování: 2 nebo vyšší

Tabulka 2: Události CBT

Událost Popis Aktivační událost
3039 Následující klient provedl vazbu LDAP přes SSL/TLS a nepodařilo se ověřit tokenu vazby kanálu LDAP. Aktivuje se za následujících okolností:

  • Když se klient pokusí o vazbu s nesprávně formátovaným tokenem vazby kanálu (CBT), pokud je Zásady skupiny CBT nastavena na Při podporování nebo Vždy.
  • Když klient, který umožňuje vazbu kanálů, neodešle CBT, pokud jsou Zásady skupiny CBT nastaveny na Při podpoře. Klient může vytvořit vazbu kanálu, pokud je funkce EPA nainstalovaná nebo dostupná v operačním systému a není zakázaná prostřednictvím nastavení registru SuppressExtendedProtection. Další informace najdete v KB5021989.
  • Když klient neodešle CBT, pokud jsou Zásady skupiny CBT nastaveny na Vždy.
Minimální úroveň protokolování: 2
3040 Během předchozího 24hodinového období bylo provedeno # nechráněných vazeb LDAP. Spouští se každých 24 hodin, když jsou Zásady skupiny CBT nastavené na Nikdy a byla dokončena alespoň jedna nechráněná vazba. Minimální úroveň protokolování: 0
3041 Zabezpečení tohoto adresářového serveru lze výrazně zlepšit konfigurací serveru tak, aby vynucoval ověřování tokenů vazeb kanálů LDAP. Spouští se každých 24 hodin při spuštění nebo spuštění služby, pokud jsou Zásady skupiny CBT nastaveny na Nikdy. Minimální úroveň protokolování: 0

K nastavení úrovně protokolování v registru použijte příkaz podobný následujícímu:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics /v "16 událostí rozhraní LDAP" /t REG_DWORD /d 2

Další informace o tom, jak nakonfigurovat protokolování diagnostických událostí služby služba Active Directory, naleznete v části Jak nakonfigurovat protokolování diagnostických událostí služby služba Active Directory a Svatých posledních dnů.

Aktualizace 8. srpna 2023

Některé klientské počítače nemohly používat tokeny vazeb kanálů LDAP pro vazbu s řadiči domény služby služba Active Directory. Společnost Microsoft vydala aktualizaci zabezpečení 8. srpna 2023. U systému Windows Server 2022 přidala tato aktualizace správcům možnost auditovat tyto klienty. Události CBT 3074 a 3075 můžete povolit se zdrojem události **Microsoft-Windows-ActiveDirectory_DomainService** v protokolu událostí adresářové služby.

Důležité Aktualizace z 8. srpna 2023 nezměnila podepisování LDAP, výchozí zásady vazeb kanálů LDAP ani jejich ekvivalent v registru na nových nebo existujících řadičích domény služby služba Active Directory.

I tady platí všechny pokyny uvedené v oddílu aktualizací z března 2020. Nové události auditování budou vyžadovat nastavení zásad a registru, jak je popsáno ve výše uvedených pokynech. Proběhl také krok umožnění zobrazení nových auditních událostí. Aktualizace ze 14. listopadu 2023 však tento krok povolení odstranily. Podrobnosti o nové implementaci jsou v části Doporučené akce níže.

Tabulka 3: Události CBT

Událost Popis Aktivační událost
3074 Následující klient provedl vazbu LDAP přes SSL/TLS a ověření tokenu vazby kanálu by se nepodařilo, pokud by adresářový server byl nakonfigurován tak, aby vynucoval ověření tokenů vazeb kanálů. Aktivuje se za následujících okolností:

  • Když se klient pokusí o vazbu s nesprávně formátovaným tokenem CBT (Channel Binding Token)
Minimální úroveň protokolování: 2
3075 Následující klient provedl vazbu LDAP přes SSL/TLS a neposkytl informace o vazbě kanálu. Když je tento adresářový server nakonfigurován tak, aby vynucoval ověřování tokenů vazeb kanálů, bude tato operace vazby odmítnuta. Aktivuje se za následujících okolností:

  • Když klient, který je schopen vazby kanálu, neodešle CBT
  • Klient může vytvořit vazbu kanálu, pokud je funkce EPA nainstalovaná nebo dostupná v operačním systému a není zakázaná prostřednictvím nastavení registru SuppressExtendedProtection. Další informace najdete v KB5021989.
Minimální úroveň protokolování: 2

Poznámka Pokud nastavíte úroveň protokolování alespoň 2, zaprotokoluje se událost s ID 3074. Správci to můžou použít k auditu svého prostředí, jestli v něm nefungují tokeny vazeb kanálů. Události budou obsahovat následující diagnostické informace k identifikaci klientů:

Client IP address:
192.168.10.5:62709
Identita, kterou se klient pokusil ověřit jako:
CONTOSO\Správce
Klient podporuje vazbu kanálu:FALSE
Client allowed in when supported mode:TRUE
Příznaky výsledků auditu:0x42

Název příznaku Flag Value Komentář
SEC_CHANNEL_BINDINGS_RESULT_CLIENT_SUPPORT 0x01 Ověřovací balíček označuje, že verze klientů by měly podporovat vazby
SEC_CHANNEL_BINDINGS_RESULT_ABSENT 0x02 Vazby nebo samé nuly se vynechají
SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISMATCH 0x04 Hodnota hash vazby kanálu byla nesprávná.
SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISSING 0x08 Chybějící vazby kanálů nejsou pro tohoto klienta povoleny.
SEC_CHANNEL_BINDINGS_RESULT_VALID_MATCHED 0x10 Vazby klienta a serveru se shodují.
SEC_CHANNEL_BINDINGS_RESULT_VALID_PROXY 0x20 ASC_REQ_PROXY_BINDINGS vyžadoval, aby klient poskytl vazbu
SEC_CHANNEL_BINDINGS_RESULT_VALID_MISSING 0x40 Klient s povolením od ASC_REQ_ALLOW_MISSING_BINDINGS

Hodnota příznaku obsahující bity 0x30 je platné pole CBT, hodnota příznaku včetně bitů 0x0C znamená zfalšovanou CBT.

Aktualizace z 10. října 2023

Změny auditování přidané v srpnu 2023 jsou nyní k dispozici ve službě Windows Server 2019. U tohoto operačního systému aktualizace přidala možnosti pro správce, aby mohli tyto klienty auditovat. Můžete povolit události CBT 3074 a 3075. Použijte zdroj události **Microsoft-Windows-ActiveDirectory_DomainService** v protokolu událostí adresářové služby.

Důležité Aktualizace z 10. října 2023 nezměnila podepisování LDAP, výchozí zásady vazeb kanálů LDAP ani jejich ekvivalent v registru na nových nebo stávajících řadičích domény služby služba Active Directory.

I tady platí všechny pokyny uvedené v oddílu aktualizací z března 2020. Nové události auditování budou vyžadovat nastavení zásad a registru, jak je popsáno ve výše uvedených pokynech. Proběhl také krok umožnění zobrazení nových auditních událostí. Aktualizace z 9. ledna 2024 však tento krok povolení odstranily. Podrobnosti o nové implementaci jsou v části Doporučené akce níže.

Aktualizace ze 14. listopadu 2023

Změny auditování přidané v srpnu 2023 jsou nyní k dispozici ve službě Windows Server 2022 bez nutnosti ručního povolení kroku. Postupujte podle kroků v části Doporučené akce.

Aktualizace z 9. ledna 2024

Změny auditování přidané v říjnu 2023 jsou nyní k dispozici ve službě Windows Server 2019 bez nutnosti ručního povolení kroku. Postupujte podle kroků v části Doporučené akce.

Důrazně doporučujeme, aby zákazníci při nejbližší příležitosti provedli následující kroky:

  1. Ujistěte se, že aktualizace Windows z 10. března 2020 nebo novější jsou nainstalované na počítačích rolí řadiče domény. Pokud chcete povolit události auditu vazeb kanálů LDAP, ujistěte se, že jsou na řadiče domény se systémem Windows Server 2022 nebo Server 2019 nainstalované aktualizace ze 14. listopadu 2023 nebo novější.

  2. Povolte diagnostické protokolování událostí LDAP na hodnotu 2 nebo vyšší.

  3. Monitorujte protokol událostí adresářových služeb na všech počítačích s rolemi řadiče domény filtrovaných na:

    • Událost selhání podepisování LDAP 2889 v tabulce 1.
    • Událost selhání vazby kanálu LDAP 3039 v tabulce 2.
    • Události auditu vazeb kanálů LDAP 3074 a 3075 v tabulce 3.
      Poznámka Události 3039, 3074 a 3075 je možné generovat pouze v případě, že je vazba kanálu nastavená na hodnotu Při podporování nebo Vždy.

  4. Identifikujte značku, model a typ zařízení pro každou IP adresu citovanou podle:

    • Událost 2889 týkající se nepodepsaných volání LDAP
    • Událost 3039 týkající se nepoužití vazby kanálu LDAP
    • Událost 3074 nebo 3075, protože neumožňuje vazbu kanálu LDAP

Typy zařízení

Seskupte typy zařízení do 1 ze 3 kategorií:

  1. Spotřebič nebo router -

    • Kontaktujte poskytovatele zařízení.

  2. Zařízení, které neběží v operačním systému Windows:

    • Ověřte, že operační systém i aplikace podporuje vazby kanálů LDAP i podepisování LDAP. Uděláte to tak, že budete spolupracovat s poskytovatelem operačního systému a aplikace.

  3. Zařízení, které funguje v operačním systému Windows

    • Podepisování LDAP je k dispozici pro použití ve všech podporovaných verzích Windows. Ověřte, že vaše aplikace nebo služba používá podepisování LDAP.
    • Vazba kanálů LDAP vyžaduje, aby všechna zařízení s Windows měla nainstalovanou chybu CVE-2017-8563 . Ověřte, že vaše aplikace nebo služba používá vazbu kanálu LDAP.

Používat místní, vzdálené, obecné nebo trasovací nástroje specifické pro zařízení. Patří mezi ně zachycení sítě, správce procesů nebo trasování ladění. Zjistěte, zda základní operační systém, služba nebo aplikace provádí nepodepsané vazby LDAP nebo nepoužívá CBT.

Pomocí Správce úloh systému Windows nebo ekvivalentního nástroje namapujte ID procesu na názvy procesů, služeb a aplikací.

Plán aktualizace zabezpečení

Aktualizace z 10. března 2020 přidala ovládací prvky pro správce, aby se posílily konfigurace vazeb kanálů LDAP a podepisování LDAP na řadičích domén služby služba Active Directory. Aktualizace z 8. srpna a 10. října 2023 přidaly možnosti pro správce auditovat klientské počítače, které nemůžou používat tokeny vazeb kanálů LDAP. Důrazně doporučujeme, aby zákazníci při nejbližší příležitosti provedli kroky doporučené v tomto článku.

Cílové datum Událost Platí pro
10. března 2020 Požadováno: Aktualizace zabezpečení dostupná na služba služba Windows Update pro všechny podporované platformy Windows.
Poznámka U platforem Windows, u kterých skončila standardní podpora, bude tato aktualizace zabezpečení k dispozici pouze prostřednictvím příslušných programů rozšířené podpory.
Podporu vazeb kanálů LDAP přidalo CVE-2017-8563 do systému Windows Server 2008 a novějších verzí. Tokeny vazeb kanálů jsou podporovány v Windows 10 verze 1709 a novějších verzích.
Windows XP nepodporuje vazby kanálů LDAP a při konfiguraci vazeb kanálů LDAP pomocí hodnoty Always by došlo k selhání, ale spolupracoval by s řadiči domény nakonfigurovanými tak, aby používaly uvolněnější nastavení vazeb kanálů LDAP Pokud je podporováno.		 Windows Server 2022
Windows 10 verze 20H2
Windows 10 verze 1909 (19H2)

Windows Server 2019 (1809 \ RS5)

Windows Server 2016 (1607 \ RS1)

Windows Server 2012 R2

Windows Server 2012

Windows Server 2008 R2 SP1 (ESU)

Windows Server 2008 SP2 (program prodloužených aktualizací zabezpečení – ESU))
8 srpna, 2023 Přidává události auditování tokenů vazeb kanálů LDAP (3074 & 3075). Ve výchozím nastavení jsou ve verzi Windows Server 2022 zakázané. Windows Server 2022
10. října 2023 Přidává události auditování tokenů vazeb kanálů LDAP (3074 & 3075). Ve výchozím nastavení jsou na serveru Windows Server 2019 zakázané. Windows Server 2019
14 listopadu, 2023 Události auditování tokenu vazby kanálu LDAP jsou ve službě Windows Server 2022 k dispozici bez nutnosti ručního povolení kroku. Windows Server 2022
9. ledna 2024 Události auditování tokenu vazby kanálu LDAP jsou ve službě Windows Server 2019 k dispozici bez nutnosti ručního povolení kroku. Windows Server 2019

Časté otázky

Odpovědi na nejčastější dotazy týkající se vazeb kanálů LDAP a podepisování LDAP na řadičích domén služby služba Active Directory najdete tady: