Změnový protokol
|
Změna 1: 5. dubna 2023: Fáze "Vynucení ve výchozím nastavení" klíče registru byla přesunuta z 11. dubna 2023 na 13. června 2023 v části "Načasování aktualizací k řešení CVE-2022-38023". Změna 2: 20. dubna 2023: Byl odebrán nepřesný odkaz na objekt zásad skupiny "Řadič domény: Povolit zranitelná připojení ke zabezpečenému kanálu Netlogon" v části "Nastavení klíče registru". Změna 3: 19. června 2023:
|
|---|
V tomto článku
- Souhrn
- Načasování aktualizací, které řeší chybu CVE-2022-38023
- Nastavení klíče registru
- Události Windows související s chybou zabezpečení CVE-2022-38023
- Nejčastější dotazy
- Glosář
Souhrn
Aktualizace Windows z 8. listopadu 2022 a novější řeší slabá místa v protokolu Netlogon, když se místo zapečetění RPC používá podepisování RPC. Další informace najdete v článku CVE-2022-38023 .
Rozhraní vzdáleného volání procedur (RPC) protokolu Netlogon se primárně používá k udržování vztahu mezi zařízením a jeho doménou a vztahů mezi řadiči domény a doménami.
Tato aktualizace ve výchozím nastavení chrání zařízení s Windows před chybou zabezpečení CVE-2022-38023 . Pro klienty třetích stran a řadiče domény třetích stran je aktualizace ve výchozím nastavení v režimu kompatibility a umožňuje zranitelná připojení z těchto klientů. Postup přechodu do režimu vynucení najdete v části Nastavení klíče registru .
Pokud chcete pomoct se zabezpečením svého prostředí, nainstalujte na všechna zařízení včetně řadičů domény aktualizaci Windows vydanou 8. listopadu 2022 nebo novější aktualizaci Windows.
Důležité Od června 2023 bude režim vynucení povolený na všech řadičích domény s Windows, který bude blokovat zranitelná připojení ze zařízení, která nedodržují předpisy. V tomto okamžiku nebudete moct aktualizaci zakázat, ale můžete se vrátit zpět k nastavení režimu kompatibility. Režim kompatibility bude odebrán v červenci 2023, jak je uvedeno v části Načasování aktualizací k řešení ohrožení zabezpečení Netlogon CVE-2022-38023 .
Načasování aktualizací, které řeší chybu CVE-2022-38023
Aktualizace budou vydávány v několika fázích: počáteční fáze pro aktualizace vydané 8. listopadu 2022 nebo později a fáze vynucení pro aktualizace vydané 11. července 2023 nebo později.
8. listopadu 2022 – Fáze počátečního nasazení
Počáteční fáze nasazení začíná aktualizacemi vydanými 8. listopadu 2022 a pokračuje novějšími aktualizacemi Windows až do fáze vynucení. Aktualizace Windows 8. listopadu 2022 nebo později řeší ohrožení zabezpečení CVE-2022-38023 obejitím zabezpečení vynucením zapečetění RPC u všech klientů Windows.
Ve výchozím nastavení jsou zařízení nastavena do režimu kompatibility. Řadiče domény systému Windows budou vyžadovat, aby klienti služby Netlogon používali pečeť protokolu RPC, pokud používají systém Windows nebo pokud fungují jako řadiče domény nebo jako důvěryhodné účty.
11. dubna 2023 – Počáteční fáze vynucení
Aktualizace Windows vydané 11. dubna 2023 nebo později odeberou možnost zakázat zapečetění RPC nastavením hodnoty 0 podklíče registru RequireSeal .
13. června 2023 – standardní vynucení
Podklíč registru RequireSeal bude přesunut do vynuceného režimu, pokud správci explicitně nenakonfigurují režim kompatibility. Zranitelným připojením ze všech klientů včetně třetích stran bude odepřeno ověření. Viz Změna 1.
11. července 2023 – Fáze vymáhání
Aktualizace Windows vydané 11. července 2023 odeberou možnost nastavit hodnotu 1 na podklíč registru RequireSeal . Tím se povolí fáze vynucení CVE-2022-38023.
Nastavení klíče registru
Po instalaci aktualizací Windows vydaných 8. listopadu 2022 nebo později je k dispozici následující podklíč registru pro protokol Netlogon na řadičích domény Windows.
Poznámka
DŮLEŽITÉ Tato aktualizace ani budoucí změny vynucení automaticky nepřidávají ani neodebírají podklíč registru RequireSeal. Aby bylo možné tento podklíč registru načíst, je nutné ho přidat ručně. Viz Změna 3.
Podklíč RequireSeal
| Klíč registru | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters |
|---|---|
| Hodnota | Těsnění RequireSeal |
| Datový typ | REG_DWORD |
| Data |
0 – zakázáno 1 – Režim kompatibility. Řadiče domény systému Windows budou vyžadovat, aby klienti služby Netlogon používali RPC Seal, pokud používají systém Windows nebo pokud fungují jako řadiče domény nebo jako důvěryhodné účty. 2 – Režim vynucení. Všichni klienti jsou povinni používat RPC Seal. Viz Změna 2. |
| Vyžaduje se restartování? | Ne |
Události Windows související s chybou zabezpečení CVE-2022-38023
Poznámka
POZNÁMKA Následující události mají 1hodinovou vyrovnávací paměť, ve které se během této doby odstraňují duplicitní události obsahující stejné informace.
Služba Netlogon zjistila, že klient používá podepisování RPC namísto zapečetění RPC
| Protokol událostí | Systém |
|---|---|
| Typ události | Chyba |
| Zdroj události | NETLOGON |
| ID události | 5838 |
| Text události | Služba Netlogon zjistila, že klient používá podepisování RPC namísto zapečetění RPC. |
Pokud tuto chybovou zprávu najdete v protokolech událostí, je třeba k vyřešení systémové chyby provést následující akce:
- Ověřte, že zařízení používá podporovanou verzi Windows.
- Zkontrolujte, že jsou všechna zařízení aktuální.
- Zkontrolujte, že Člen domény: Člen domény Digitální šifrování nebo podepisování dat zabezpečeného kanálu (vždy) je nastaveno na Povoleno .
Služba Netlogon zjistila vztah důvěryhodnosti pomocí podepisování RPC místo zapečetění RPC
| Protokol událostí | Systém |
|---|---|
| Typ události | Chyba |
| Zdroj události | NETLOGON |
| ID události | 5839 |
| Text události | Služba Netlogon zjistila vztah důvěryhodnosti pomocí podepisování RPC místo zapečetění RPC. |
Služba Netlogon vytvořila zabezpečený kanál s klientem pomocí RC4
| Protokol událostí | Systém |
|---|---|
| Typ události | Varování |
| Zdroj události | NETLOGON |
| ID události | 5840 |
| Text události | Služba Netlogon vytvořila zabezpečený kanál s klientem s RC4. |
Pokud najdete událost 5840, znamená to, že klient ve vaší doméně používá slabé šifrování.
Služba Netlogon odmítla klienta používajícího RC4 kvůli nastavení RejectMd5Clients
| Protokol událostí | Systém |
|---|---|
| Typ události | Chyba |
| Zdroj události | NETLOGON |
| ID události | 5841 |
| Text události | Služba Netlogon odmítla klienta používajícího RC4 kvůli nastavení RejectMd5Clients. |
Pokud najdete událost 5841, znamená to, že hodnota RejectMD5Clients je nastavena na hodnotu TRUE .
Klíč RejectMD5Clients je již existující klíč ve službě Netlogon. Další informace najdete v popisu abstraktního datového modelu RejectMD5Clients .
Nejčastější dotazy
Kdo je ohrožen problémem uvedeným v CVE-2022-38023?
Toto CVE se týká všech účtů počítačů připojených k doméně. Události ukážou, koho tento problém nejvíce ovlivňuje po instalaci aktualizací Windows z 8. listopadu 2022 nebo novějších. Pokud chcete problémy vyřešit, podívejte se prosím do části Chyby protokolu událostí .
Aby tato aktualizace pomohla rozpoznat starší klienty, kteří nepoužívají nejsilnější dostupnou kryptografickou technologii, zavádí protokoly událostí pro klienty, kteří používají RC4.
Co je podepisování a pečetění RPC?
Podepisování RPC je situace, kdy protokol Netlogon používá RPC k podepisování zpráv, které posílá po drátě. Zapečetění protokolu RPC nastává, když protokol Netlogon podepisuje a šifruje zprávy, které posílá po drátě.
Jak řadiče domény systému Windows určí, zda klient služby Netlogon používá systém Windows?
Řadič domény systému Windows určit, zda klient služby Netlogon používá systém Windows, a to dotazem na atribut OperatingSystem ve službě služba Active Directory pro klienta služby Netlogon a kontrolou následujících řetězců:
- "Windows", "Hyper-V Server" a "Azure Stack HCI"
Nedoporučujeme ani nepodporujeme, aby byl tento atribut klienty služby Netlogon nebo správci domény měněn na hodnotu, která neodpovídá operačnímu systému spuštěnému klientem služby Netlogon. Měli byste si být vědomi toho, že kritéria vyhledávání můžeme kdykoli změnit. Viz Změna 3.
Odmítne fáze vynucení klienty služby RC4 Netlogon?
Fáze vynucení neodmítá klienty služby Netlogon na základě typu šifrování, který klienti používají. Odmítne pouze klienty služby Netlogon, pokud místo zapečetění RPC provádějí podepisování RPC. Odmítnutí klientů služby Netlogon RC4 je založeno na klíči registru RejectMd5Clients, který je k dispozici pro řadiče domény systému Windows Windows Server 2008 R2 a novější. Fáze vynucení u této aktualizace nezmění hodnotu RejectMd5Clients. Doporučujeme, aby zákazníci kvůli vyššímu zabezpečení ve svých doménách povolili hodnotu RejectMd5Clients. Viz Změna 3.
Glosář
AES
Advanced Encryption Standard (AES) je bloková šifra, která nahrazuje DES (Data Encryption Standard). AES lze použít k ochraně elektronických dat. Algoritmus AES lze použít k šifrování (zašifrování) a dešifrování (dešifrování) informací. Šifrování převádí data do nesrozumitelné formy zvané šifrovaný text; Dešifrování šifrovaného textu převede data zpět do původní podoby, nazývané prostý text. AES se používá v kryptografii symetrických klíčů, což znamená, že stejný klíč se používá pro operace šifrování a dešifrování. Je to také bloková šifra, což znamená, že pracuje s bloky prostého textu a šifrového textu pevné velikosti a vyžaduje, aby velikost prostého textu i šifrového textu byly přesným násobkem této velikosti bloku. AES je také známý jako symetrický šifrovací algoritmus Rijndael [FIPS197].
Netlogon
V prostředí zabezpečení sítě kompatibilním s operačním systémem Windows NT se jedná o součást zodpovědnou za funkce synchronizace a údržby mezi primárním řadičem domény a záložním řadičem domény. Netlogon je předchůdce protokolu DRS (Directory Replication Server). Rozhraní vzdáleného volání procedur (RPC) protokolu Netlogon se primárně používá k udržování vztahu mezi zařízením a jeho doménou a vztahů mezi řadiči domény a doménami. Další informace najdete v tématu Netlogon Remote Protocol.
RC4-HMAC
RC4-HMAC (RC4) je symetrický šifrovací algoritmus s proměnnou délkou klíče. Další informace viz [SCHNEIER] část 17.1.
Zabezpečený kanál
Ověřené připojení vzdáleného volání procedur (RPC) mezi dvěma počítači v doméně se zavedeným kontextem zabezpečení sloužící k podepisování a šifrování paketů RPC .