Ændringslog
Ændring 1: 19. juni 2023:
|
|---|
Denne artikel indeholder
- Sammendrag
- Registrering af eksplicit angivne krypteringstyper for sessionsnøgler
- Indstillinger for registreringsdatabasenøgle
- Windows-hændelser, der er relateret til CVE-2022-37966
- Ofte stillede spørgsmål og kendte problemer
- Ordliste
Sammendrag
Windows-opdateringerne, der er udgivet den 8. november 2022 eller derefter, adresserer sikkerhedstilsidesættelse og udvidelse af rettighedssårbarhed med godkendelsesforhandling ved hjælp af svag RC4-HMAC-forhandling.
Denne opdatering indstiller AES som standardkrypteringstype for sessionsnøgler på konti, der ikke allerede er markeret med en standardkrypteringstype.
Hvis du vil beskytte dit miljø, skal du installere Windows-opdateringer, der er udgivet den 8. november 2022 eller derefter, på alle enheder, herunder domænecontrollere. Se Ændring 1.
Du kan finde flere oplysninger om disse sikkerhedsrisici under CVE-2022-37966.
Registrering af eksplicit angivne krypteringstyper for sessionsnøgler
Du har muligvis eksplicit defineret krypteringstyper på dine brugerkonti, der er sårbare over for CVE-2022-37966. Søg efter konti, hvor DES/RC4 eksplicit er aktiveret, men ikke AES ved hjælp af følgende Active Directory-forespørgsel:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Indstillinger for registreringsdatabasenøgle
Når du har installeret Windows-opdateringer, der er dateret den 8. november 2022 eller derefter, er følgende registreringsdatabasenøgle tilgængelig for Kerberos-protokollen:
DefaultDomainSupportedEncTypes
| Registreringsdatabasenøgle | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Værdi | DefaultDomainSupportedEncTypes |
| Datatype | REG_DWORD |
| Dataværdi | 0x27 (standard) |
| Kræves genstart? | Nej |
Bemærk Hvis du er nødt til at ændre den understøttede standardkrypteringstype for en Active Directory-bruger eller -computer, skal du manuelt tilføje og konfigurere registreringsdatabasenøglen for at angive den nye understøttede krypteringstype. Denne opdatering tilføjer ikke automatisk registreringsdatabasenøglen.
Windows-domænecontrollere bruger denne værdi til at bestemme de understøttede krypteringstyper på konti i Active Directory, hvor værdien msds-SupportedEncryptionType enten er tom eller ikke er angivet. En computer, der kører en understøttet version af Windows-operativsystemet, angiver automatisk msds-SupportedEncryptionTypes for den pågældende computerkonto i Active Directory. Dette er baseret på den konfigurerede værdi af de krypteringstyper, som Kerberos-protokollen har tilladelse til at bruge. Du kan finde flere oplysninger under Netværkssikkerhed: Konfigurer krypteringstyper, der er tilladt for Kerberos.
Brugerkonti, gruppeadministrerede tjenestekonti og andre konti i Active Directory har ikke fået værdien msds-SupportedEncryptionTypes angivet automatisk.
Hvis du vil finde understøttede krypteringstyper, du kan angive manuelt, skal du se Bitflag for understøttede krypteringstyper. Du kan finde flere oplysninger om, hvad du skal gøre først for at forberede miljøet og forhindre problemer med Kerberos-godkendelse.
Standardværdien 0x27 (DES, RC4, AES-sessionsnøgler) blev valgt som den mindste ændring, der er nødvendig for denne sikkerhedsopdatering. Vi anbefaler, at kunder angiver værdien til 0x3C for øget sikkerhed , da denne værdi tillader både AES-krypterede billetter og AES-sessionsnøgler. Hvis kunder har fulgt vores vejledning om at flytte til et miljø kun med AES, hvor RC4 ikke bruges til Kerberos-protokollen, anbefaler vi, at kunderne angiver værdien til 0x38. Se Ændring 1.
Windows-hændelser, der er relateret til CVE-2022-37966
Kerberos Key Distribution Center mangler stærke nøgler til konto
| Hændelseslog | System |
|---|---|
| Hændelsestype | Fejl |
| Hændelseskilde | Kdcsvc |
| Hændelses-id | 42 |
| Begivenhedstekst | Kerberos Key Distribution Center mangler stærke nøgler til konto : kontonavn. Du skal opdatere adgangskoden til denne konto for at forhindre brug af usikker kryptografi. Se https://go.microsoft.com/fwlink/?linkid=2210019 for at få mere at vide. |
Hvis du finder denne fejl, skal du sandsynligvis nulstille din krbtgt-adgangskode, før du indstiller KrbtgtFullPacSingature = 3 eller installerer Windows-Opdateringer, der er udgivet den 11. juli 2023 eller senere. Opdateringen, der programmeringsmæssigt aktiverer håndhævelsestilstand for CVE-2022-37967, er dokumenteret i følgende artikel i Microsoft Knowledge Base:
KB5020805: Sådan administrerer du Kerberos-protokolændringer relateret til CVE-2022-37967
Hvis du vil have mere at vide om, hvordan du gør dette, skal du se detNew-KrbtgtKeys.ps1 emne på GitHub-webstedet.
Ofte stillede spørgsmål og kendte problemer
Under hvilke omstændigheder er mit miljø sårbart?
Konti, der er markeret med flag for eksplicit RC4-brug, er sårbare. Desuden kan miljøer, der ikke har AES-sessionsnøgler i krbgt-kontoen, være sårbare. Du kan løse dette problem ved at følge vejledningen i, hvordan du identificerer sårbarheder og bruger afsnittet Indstilling af registreringsdatabasenøgle til at opdatere eksplicit indstillede standardindstillinger for kryptering.
Hvad skal jeg gøre først for at forberede mit miljø og forhindre problemer med Kerberos-godkendelse efter installation af opdateringer, der er udgivet den 8. november 2022 eller senere på domænecontrollere?
Du skal kontrollere, at alle dine enheder har en fælles Kerberos-krypteringstype. Du kan finde flere oplysninger om Kerberos-krypteringstyper under Dekryptere valget af understøttede Kerberos-krypteringstyper.
Miljøer uden en fælles Kerberos-krypteringstype kan tidligere have været funktionelle pga. automatisk tilføjelse af RC4 eller ved tilføjelse af AES, hvis RC4 blev deaktiveret via gruppepolitik af domænecontrollere. Denne funktionsmåde er ændret med de opdateringer, der blev udgivet den 8. november 2022 eller derefter, og følger nu nøje det, der er angivet i registreringsdatabasenøglerne msds-SupportedEncryptionTypes og DefaultDomainSupportedEncTypes.
Hvis kontoen ikke har msds-SupportedEncryptionTypes indstillet, eller hvis den er angivet til 0, antager domænecontrollere standardværdien 0x27 (39), eller også vil domænecontrolleren bruge indstillingen i registreringsdatabasenøglen DefaultDomainSupportedEncTypes.
Hvis kontoen har msds-SupportedEncryptionTypes indstillet, respekteres denne indstilling og kan udsætte en fejl i konfigurationen af en almindelig Kerberos-krypteringstype, der er maskeret af den tidligere funktionsmåde med automatisk tilføjelse af RC4 eller AES, som ikke længere er funktionsmåden efter installation af opdateringer, der er udgivet den 8. november 2022 eller derefter.
Du kan finde flere oplysninger om, hvordan du kontrollerer, at du har en fælles Kerberos-krypteringstype, under spørgsmålet Hvordan kan jeg kontrollere, at alle mine enheder har en fælles Kerberos-krypteringstype?
Hvordan kan jeg kontrollere, at alle mine enheder har en fælles Kerberos-krypteringstype?
Se det forrige spørgsmål for at få flere oplysninger om, hvorfor dine enheder muligvis ikke har en fælles Kerberos-krypteringstype efter installation af opdateringer, der er udgivet den 8. november 2022 eller derefter.
Hvis du allerede har installeret opdateringer, der er udgivet den 8. november 2022 eller derefter, kan du registrere enheder, der ikke har en fælles Kerberos-krypteringstype, ved at kigge i hændelsesloggen for Microsoft-Windows-Kerberos-Key-Distribution-Center Event 27, som identificerer adskilte krypteringstyper mellem Kerberos-klienter og fjernservere eller -tjenester.
Jeg har problemer med Kerberos-godkendelse i mit miljø efter installation af opdateringer, der er udgivet den 8. november 2022 eller derefter. Skal jeg løse disse problemer på Windows-klientenheder eller Windows-servere, der ikke kører rollen som domænecontroller?
Installation af opdateringer, der er udgivet den 8. november 2022 eller derefter, på klienter eller ikke-domænecontrollerrolleservere, bør ikke påvirke Kerberos-godkendelse i dit miljø.
Når jeg har installeret opdateringer, der er udgivet den 8. november 2022 eller derefter, på domænecontrollere, oplever jeg en hukommelsesfejl med Local Security Authority Subsystem Service (LSASS.exe). Hvad kan jeg gøre?
Du kan afhjælpe dette kendte problem ved at åbne en kommandolinje som administrator og midlertidigt bruge følgende kommando til at indstille registreringsdatabasenøglen KrbtgtFullPacSignature til 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Bemærk
Bemærk Når dette kendte problem er løst, skal du angive KrbtgtFullPacSignature til en højere indstilling, afhængigt af hvad dit miljø tillader. Vi anbefaler, at håndhævelsestilstand aktiveres, så snart dit miljø er klar.
Næste skridt Vi arbejder på en løsning og vil levere en opdatering i en kommende version.
Hvorfor får jeg Kerberos-godkendelsesfejl på enheder, der ikke er Windows-enheder i mit miljø?
Når du har installeret opdateringer, der er udgivet den 8. november 2022 eller derefter, på dine domænecontrollere, skal alle enheder understøtte AES-billetsignering som påkrævet for at være kompatible med den sikkerhedshærdning, der kræves til CVE-2022-37967.
Næste trin Hvis du allerede kører den nyeste software og firmware til dine ikke-Windows-enheder, og har kontrolleret, at der er en fælles krypteringstype tilgængelig mellem dine Windows-domænecontrollere og dine ikke-Windows-enheder, skal du kontakte producenten af enheden (OEM) for at få hjælp eller udskifte enhederne med dem, der er kompatible.
Bemærk
VIGTIGT Vi anbefaler ikke, at du bruger nogen løsning til at tillade ikke-kompatible enheder at godkende, da det kan gøre dit miljø sårbart.
Mine enheder, der kører en ikke-understøttet version af Windows, har ikke længere adgang til ressourcer i mit miljø. Desuden kan disse enheder ikke åbnes via opdaterede Windows-enheder i mit miljø. Hvad kan jeg gøre?
Versioner af Windows, der ikke understøttes, omfatter Windows XP, Windows Server 2003, Windows Server 2008 SP2 og Windows Server 2008 R2 SP1 kan ikke åbnes af opdaterede Windows-enheder, medmindre du har en ESU-licens. Hvis du har en ESU-licens, skal du installere opdateringer, der er udgivet den 8. november 2022 eller derefter, og bekræfte, at konfigurationen har en fælles krypteringstype tilgængelig mellem alle enheder.
Næste trin Installér opdateringer, hvis de er tilgængelige til din version af Windows, og du har den relevante ESU-licens. Hvis der ikke er tilgængelige opdateringer, skal du opgradere til en understøttet version af Windows eller flytte et program eller en tjeneste til en kompatibel enhed.
Bemærk
VIGTIGT Vi anbefaler ikke, at du bruger nogen løsning til at tillade ikke-kompatible enheder at godkende, da det kan gøre dit miljø sårbart.
Alle mine enheder har en fælles krypteringstype og er konfigureret til kun at bruge AES. Hvorfor får jeg stadig vist Kerberos-godkendelsesfejl efter installation af opdateringen for 8. november 2022 specifikt?
Dette kendte problem blev løst i out of band-opdateringer, der er udgivet d. 17. november 2022 og d. 18. november 2022 til installation på alle domænecontrollere i dit miljø. Du behøver ikke at installere nogen opdatering eller foretage ændringer på andre servere eller klientenheder i dit miljø for at løse dette problem. Hvis du har brugt nogen løsning eller afhjælpninger til dette problem, er de ikke længere nødvendige, og vi anbefaler, at du fjerner dem.
Du kan få den separate pakke til disse automatiske opdateringer ved at søge efter KB-nummeret i Microsoft Update-kataloget. Du kan manuelt importere disse opdateringer til Windows Server Update Services (WSUS) og Microsoft Endpoint Configuration Manager. Du kan finde WSUS-instruktioner under WSUS og katalogwebstedet. Du kan finde oplysninger i Configuration Manager under Importér opdateringer fra Microsoft Update-kataloget.
Bemærk
Bemærk Følgende opdateringer er ikke tilgængelige i Windows Update og installeres ikke automatisk.
Kumulative opdateringer:
Bemærk
Bemærk Du behøver ikke at anvende en tidligere opdatering, før du installerer disse kumulative opdateringer. Hvis du allerede har installeret opdateringer, der er udgivet den 8. november 2022, behøver du ikke at fjerne de berørte opdateringer, før du installerer eventuelle senere opdateringer, herunder de opdateringer, der er angivet ovenfor.
Separate opdateringer:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (udgivet 18. november 2022)
- Windows Server 2008 SP2: KB5021657
Bemærk
Bemærkninger
- Hvis du kun bruger sikkerhedsopdateringer til disse versioner af Windows Server, behøver du kun at installere disse separate opdateringer for november 2022. Sikkerhedsopdateringer er ikke kumulative, og du skal også installere alle tidligere opdateringer, der kun gælder sikkerhed, for at være helt opdateret. Månedlige opdateringspakker er kumulative og omfatter sikkerheds- og alle kvalitetsopdateringer.
- Hvis du bruger månedlige opdateringspakker, skal du installere både de separate opdateringer, der er angivet ovenfor, for at løse dette problem og installere de månedlige opdateringspakker, der blev udgivet den 8. november 2022, for at modtage kvalitetsopdateringer for november 2022. Hvis du allerede har installeret opdateringer, der er udgivet den 8. november 2022, behøver du ikke at fjerne de berørte opdateringer, før du installerer eventuelle senere opdateringer, herunder de opdateringer, der er angivet ovenfor.
Jeg bruger et program på mine Windows-enheder, som bruger en ikke-Microsoft-implementering af Kerberos, og jeg oplever problemer med Kerberos-godkendelse. Hvad kan jeg gøre?
Hvis du har bekræftet konfigurationen af dit miljø, og du stadig oplever problemer med en implementering af Kerberos, der ikke er fra Microsoft, har du brug for opdateringer eller support fra udvikleren eller producenten af appen eller enheden.
Jeg har angivet msds-SupportedEncryptionTypes i Active Directory for alle konti, der er konfigureret som ikke-nul uden nogen krypteringstype bits angivet (mindst væsentlige 5 bit), men jeg har godkendelsesfejl efter installation af opdateringer, der er udgivet den 8. november 2022 eller derefter, på domænecontrollere. Hvad kan jeg gøre?
Dette kendte problem kan afhjælpes ved at gøre et af følgende:
Angiv msds-SupportedEncryptionTypes bitvis, eller angiv den til den aktuelle standard 0x27 for at bevare den aktuelle værdi. Det kunne f.eks. være:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Indstil msds-SupportEncryptionTypes til 0 for at lade domænecontrollere bruge standardværdien for 0x27.
Næste skridt Vi arbejder på en løsning og vil levere en opdatering i en kommende version.
Ordliste
Advanced Encryption Standard (AES)
Advanced Encryption Standard (AES) er en blokkryptering, der erstatter Data Encryption Standard (DES). AES kan bruges til at beskytte elektroniske data. AES-algoritmen kan bruges til at kryptere (kryptere) og dekryptere (dechifrere) oplysninger. Kryptering konverterer data til en uforståelig form kaldet kodetekst; Dekryptering af kryptering af krypteringsteksten konverterer dataene tilbage til deres oprindelige form, kaldet almindelig tekst. AES bruges i kryptografi med symmetrisk nøgle, hvilket betyder, at den samme nøgle bruges til krypterings- og dekrypteringshandlinger. Det er også en blokkryptering, hvilket betyder, at den fungerer på blokke med fast størrelse af almindelig tekst og krypteringstekst, og kræver, at størrelsen på almindelig tekst samt kodetekst er et nøjagtigt multiplum af denne blokstørrelse. AES er også kendt som Rijndaels symmetriske krypteringsalgoritme [FIPS197].
Kerberos
Kerberos er en protokol til godkendelse af computernetværk, som fungerer baseret på "billetter" for at tillade, at noder, der kommunikerer over et netværk, kan bevise deres identitet over for hinanden på en sikker måde.
Key Distribution Center (KDC)
Kerberos-tjenesten, der implementerer de godkendelses- og billettildelingstjenester, der er angivet i Kerberos-protokollen. Tjenesten kører på computere, der er valgt af administratoren af domænet eller domænet. Den findes ikke på alle computere på netværket. Den skal have adgang til en kontodatabase for det område, den betjener. KDC'er er integreret i domænecontrollerrollen . Det er en netværkstjeneste, der leverer billetter til klienter til brug for godkendelse til tjenester.
RC4-HMAC
RC4-HMAC (RC4) er en symmetrisk krypteringsalgoritme med variabel nøglelængde. For yderligere oplysninger, se [SCHNEIER] afsnit 17.1.
Sessionsnøgle
En relativt kortvarig symmetrisk nøgle (en kryptografisk nøgle, der forhandles mellem klienten og serveren baseret på en delt hemmelighed). Levetiden for en sessionsnøgle er begrænset af den session, som den er knyttet til. En sessionsnøgle skal være stærk nok til at modstå kryptoanalyse i sessionens levetid.
Billetudstedende billet
En særlig billettype, der kan bruges til at skaffe andre billetter. Den billetudstedende billet (TGT) opnås efter den indledende godkendelse i udvekslingen af godkendelsestjenesten (AS). derefter behøver brugerne ikke at fremvise deres legitimationsoplysninger, men kan bruge TGT til at få efterfølgende billetter.