Úvod
Společnost Microsoft oznamuje dostupnost nové funkce EPA (Extended Protection for Authentication) na platformě Windows. Tato funkce vylepšuje ochranu a zpracování přihlašovacích údajů při ověřování síťových připojení pomocí integrovaného ověřování systému Windows (IWA).
Samotná aktualizace přímo neposkytuje ochranu proti konkrétním útokům, jako je předávání pověření, ale umožňuje aplikacím přihlásit se k EPA. Tento informační zpravodaj informuje vývojáře a správce systému o této nové funkci a o tom, jak ji můžete nasadit k ochraně přihlašovacích údajů pro ověřování.
Další informace najdete v článku zabezpečení od Microsoftu Advisory 973811.
Další informace
Tato aktualizace zabezpečení upravuje rozhraní SSPI (Security Support Provider Interface), aby se zlepšilo fungování ověřování Windows, aby nedocházelo ke snadnému předávání přihlašovacích údajů, když je povolená IWA.
Pokud je EPA povolena, požadavky na ověření jsou vázány jak na hlavní názvy služby (SPN) serveru, ke kterému se klient pokouší připojit, tak na vnější kanál TLS (Transport Layer Security), přes který probíhá ověřování IWA.
Aktualizace přidává novou položku registru pro správu rozšířené ochrany:
Nastavte v registru hodnotu SuppressExtendedProtection .
Klíč registru HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA Hodnota SuppressExtendedProtection Typ: REG_DWORD Data 0 Povoluje technologii ochrany.
1 Rozšířená ochrana je zakázaná.
3 Rozšířená ochrana je zakázána a vazby kanálů odeslané protokolem Kerberos jsou také zakázány, i když je aplikace poskytuje.
Výchozí hodnota: 0x0
Poznámka Problém, ke kterému dochází, když je EPA ve výchozím nastavení povolena, je popsán v tématu Chyba ověřování ze serverů NTLM nebo Kerberos jiných systémů než Windows na webu společnosti Microsoft.Nastavte v registru hodnotu LmCompatibilityLevel .
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevelna 3. Jedná se o existující klíč, který umožňuje ověřování protokolem NTLMv2. EPA platí jenom pro ověřovací protokoly NTLMv2, Kerberos, digest a vyjednávání a neplatí pro NTLMv1.
Poznámka Po nastavení hodnot registrů SuppressExtendedProtection a LmCompatibilityLevel v počítači se systémem Windows je nutné restartovat počítač.
Povolení rozšířené ochrany
Poznámka Ve výchozím nastavení je rozšířená ochrana i protokol NTLMv2 povolená ve všech podporovaných verzích Windows. Pomocí tohoto průvodce můžete ověřit, že tomu tak je.
Důležité Tato část, metoda nebo úkol obsahuje kroky, které popisují úpravu registru. Pokud byste ale registr upravili nesprávně, mohlo by dojít k vážným problémům. Provádějte proto tento postup pečlivě. Před úpravami registru vytvořte pro zvýšení ochrany zálohu registru. V případě problému pak můžete registr obnovit. Další informace o zálohování a obnovení registru naleznete v následujícím článku znalostní báze znalostní báze Microsoft Knowledge Base:
- KB322756 Postup zálohování a obnovení registru v systému Windows
Chcete-li rozšířenou ochranu povolit sami po stažení a instalaci aktualizace zabezpečení pro vaši platformu, postupujte takto:
Spusťte Editor registru. Uděláte to tak, že kliknete na Start, kliknete na Spustit, do pole Otevřít zadáte regedit a kliknete na OK.
Vyhledejte následující podklíč registru a klikněte na něj:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSAOvěřte, zda jsou k dispozici hodnoty registru SuppressExtendedProtection a LmCompatibilityLevel .
Pokud nejsou hodnoty registru k dispozici, vytvořte je následujícím postupem:
- S vybraným podklíčem registru, který je uvedený v kroku 2, přejděte v nabídce Úpravy na příkaz Nový a klikněte na položku Hodnota DWORD.
- Zadejte SuppressExtendedProtection a stiskněte Enter.
- S vybraným podklíčem registru, který je uvedený v kroku 2, přejděte v nabídce Úpravy na příkaz Nový a klikněte na položku Hodnota DWORD.
- Zadejte text LmCompatibilityLevel a stiskněte klávesu Enter.
Kliknutím vyberte hodnotu registru SuppressExtendedProtection .
V nabídce Úpravy klikněte na Změnit.
Do pole Údaj hodnoty zadejte hodnotu 0 a klikněte na tlačítko OK.
Kliknutím vyberte hodnotu registru LmCompatibilityLevel .
V nabídce Úpravy klikněte na Změnit.
Poznámka Tento krok mění požadavky na ověřování protokolem NTLM. Přečtěte si prosím následující článek znalostní báze znalostní báze Microsoft Knowledge Base, abyste měli jistotu, že jste s tímto chováním obeznámeni.
KB239869 Povolení ověřování NTLM 2Do pole Údaj hodnoty zadejte hodnotu 3 a klikněte na tlačítko OK.
Ukončete Editor registru.
Pokud tyto změny provedete v počítači se systémem Windows, je nutné jej před projevením těchto změn restartovat.