Hinweis
Wichtig Bestimmte Versionen von Microsoft Windows haben das Ende des Supports erreicht. Beachten Sie, dass einige Versionen von Windows möglicherweise nach dem neuesten Betriebssystemenddatum unterstützt werden, wenn erweiterte Sicherheitsupdates (ESUs) verfügbar sind. Eine Liste der Produkte, die ESUs anbieten, finden Sie unter Häufig gestellte Fragen zum Lebenszyklus – Erweiterte Sicherheit Updates.
Änderungsprotokoll
| Datum ändern | Beschreibung ändern |
|---|---|
| 1. August 2024 |
|
| Dienstag, 5. August 2024 |
|
| 6. August 2024 |
|
Inhaltsverzeichnis
- Zusammenfassung
- In Aktion treten
- Von diesem Update hinzugefügte Ereignisse
- Konfigurationen
- Häufig gestellte Fragen
- Informationsquellen
Zusammenfassung
Die Windows-Updates vom oder nach dem 9. Juli 2024 beheben ein Sicherheitsrisiko im RADIUS-Protokoll (Remote Authentication Dial-In User Service) im Zusammenhang mit MD5-Kollisionsproblemen. Aufgrund schwacher Integritätsprüfungen in MD5 kann ein Angreifer Pakete manipulieren, um nicht autorisierten Zugriff zu erhalten. Durch die MD5-Sicherheitslücke ist der auf dem User Datagram Protocol (UDP) basierende RADIUS-Verkehr über das Internet nicht vor Paketfälschung oder -änderung während der Übertragung geschützt.
Weitere Informationen zu diesem Sicherheitsrisiko finden Sie unter CVE-2024-3596 und im Whitepaper RADIUS- UND MD5-KOLLISIONSANGRIFFE.
HINWEIS Diese Sicherheitsanfälligkeit erfordert physischen Zugriff auf das RADIUS-Netzwerk und den Netzwerkrichtlinienserver (Network Policy Server, NPS). Kunden, die über gesicherte RADIUS-Netzwerke verfügen, sind daher nicht anfällig. Darüber hinaus gilt die Sicherheitsanfälligkeit nicht, wenn die RADIUS-Kommunikation über VPN erfolgt.
In Aktion treten
Um Ihre Umgebung zu schützen, wird empfohlen, die folgenden Konfigurationen zu aktivieren. Weitere Informationen finden Sie im Abschnitt Empfehlungen.
|
|---|
Von diesem Update hinzugefügte Ereignisse
Weitere Informationen finden Sie im Abschnitt Empfehlungen.
Hinweis
Hinweis Diese Ereignis-IDs werden dem NPS-Server durch die Windows-Updates vom oder nach dem 9. Juli 2024 hinzugefügt.
Ereignis-ID: 4418
Das Paket Access-Request wurde verworfen, weil es das Attribut Proxy-State enthielt, aber das Attribut Message-Authenticator fehlte. Erwägen Sie, den RADIUS-Client so zu ändern, dass er das Message-Authenticator-Attribut enthält. Alternativ können Sie eine Ausnahme für den RADIUS-Client mithilfe der Konfiguration limitProxyState hinzufügen.
| Ereignisprotokoll | System |
|---|---|
| Ereignistyp | Fehler |
| Ereignisquelle | NPS- |
| Ereigniskennung | 4418 |
| Ereignistext | Es wurde eine Access-Request Nachricht von der IP/dem Namen> des RADIUS-Clients< empfangen, die ein Proxy-State-Attribut enthielt, aber kein Message-Authenticator-Attribut enthielt. Daher wurde die Anforderung gelöscht. Das Message-Authenticator-Attribut ist aus Sicherheitsgründen obligatorisch. Weitere Informationen finden Sie unter https://support.microsoft.com/help/5040268. |
Ereignis-ID: 4419
Dies ist ein Überwachungsereignis für Access-Request-Pakete ohne das Attribut Message-Authenticator bei Vorhandensein von Proxy-State. Erwägen Sie, den RADIUS-Client so zu ändern, dass er das Message-Authenticator-Attribut enthält. Das RADIUS-Paket wird verworfen, sobald die Konfiguration limitproxystate aktiviert ist.
| Ereignisprotokoll | System |
|---|---|
| Ereignistyp | Warnung |
| Ereignisquelle | NPS- |
| Ereigniskennung | 4419 |
| Ereignistext | Es wurde eine Access-Request Nachricht von der IP/dem Namen> des RADIUS-Clients< empfangen, die ein Proxy-State-Attribut enthielt, aber kein Message-Authenticator-Attribut enthielt. Die Anforderung ist derzeit zulässig, da limitProxyState im Überwachungsmodus konfiguriert ist. Weitere Informationen finden Sie unter https://support.microsoft.com/help/5040268. |
Ereignis-ID: 4420
Dies ist ein Überwachungsereignis für RADIUS-Antwortpakete, die ohne das Message-Authenticator-Attribut am Proxy empfangen werden. Erwägen Sie, den angegebenen RADIUS-Server für das Message-Authenticator-Attribut zu ändern. Das RADIUS-Paket wird gelöscht, sobald die Konfiguration requiremsgauth aktiviert ist.
| Ereignisprotokoll | System |
|---|---|
| Ereignistyp | Warnung |
| Ereignisquelle | NPS- |
| Ereigniskennung | 4420 |
| Ereignistext | Der RADIUS-Proxy hat eine Antwort von <Server-IP/-Name> mit einem fehlenden Message-Authenticator Attribut erhalten. Die Antwort ist derzeit zulässig, da requireMsgAuth im Überwachungsmodus konfiguriert ist. Weitere Informationen finden Sie unter https://support.microsoft.com/help/5040268. |
Ereignis-ID: 4421
Dieses Ereignis wird während des Dienststarts protokolliert, wenn die empfohlenen Einstellungen nicht konfiguriert sind. Erwägen Sie, die Einstellungen zu aktivieren, wenn das RADIUS-Netzwerk unsicher ist. Bei sicheren Netzwerken können diese Ereignisse ignoriert werden.
| Ereignisprotokoll | System |
|---|---|
| Ereignistyp | Warnung |
| Ereignisquelle | NPS- |
| Ereigniskennung | 4421 |
| Ereignistext | Die Konfiguration von RequireMsgAuth und/oder limitProxyState befindet sich im <Deaktivierungs-/Überwachungsmodus> . Diese Einstellungen sollten aus Sicherheitsgründen im Aktivierungsmodus konfiguriert werden. Weitere Informationen finden Sie unter https://support.microsoft.com/help/5040268. |
Konfigurationen
Senden des Attributs "Message-Authenticator" in allen Access-Request-Paketen auf dem Server konfigurieren
Diese Konfiguration ermöglicht es dem NPS-Proxy, mit dem Senden des Message-Authenticator-Attributs in allen Access-Request-Paketen zu beginnen. Verwenden Sie eine der folgenden Methoden, um diese Konfiguration zu aktivieren.
Methode 1: Verwenden der NPS Microsoft Management Console (MMC)
Führen Sie die folgenden Schritte aus, um die NPS-MMC zu verwenden:
- Öffnen Sie die NPS-Benutzeroberfläche (UI) auf dem Server.
- Öffnen Sie die Remote-Radius-Servergruppen.
- Wählen Sie Radius-Server aus.
- Wechseln Sie zu Authentifizierung/Buchhaltung.
- Klicken Sie hier, um das Kontrollkästchen Die Anforderung muss das Message-Authenticator-Attribut enthalten auszuwählen.
Methode 2: Verwenden des Netsh-Befehls
Führen Sie den folgenden Befehl aus, um netshzu verwenden:
Hinweis
netsh nps set remoteserver remoteservergroup = <server group name> address = <server address> requireauthattrib = yes
Weitere Informationen finden Sie unter Remote RADIUS-Servergruppenbefehle.
Konfigurieren Sie die Überprüfung des Attributs "Message-Authenticator" in allen Access-Request-Paketen auf dem Client.
Diese Konfiguration erfordert das Attribut Message-Authenticator in allen Access-Request-Paketen und verwirft das Paket, wenn es nicht vorhanden ist.
Methode 1: Verwenden der NPS Microsoft Management Console (MMC)
Führen Sie die folgenden Schritte aus, um die NPS-MMC zu verwenden:
- Öffnen Sie die NPS-Benutzeroberfläche (UI) auf dem Server.
- Öffnen Sie Radius-Clients.
- Wählen Sie Radius-Client aus.
- Wechseln Sie zu Erweiterte Einstellungen.
- Klicken Sie hier, um das Kontrollkästchen Access-Request-Nachrichten müssen das Attribut message-authenticator enthalten auszuwählen.
Weitere Informationen finden Sie unter Konfigurieren von RADIUS-Clients.
Methode 2: Netsh-Befehl verwenden
Führen Sie den folgenden Befehl aus, um netshzu verwenden:
Hinweis
netsh nps set client name = <client name> requireauthattrib = yes
Weitere Informationen finden Sie unter Remote RADIUS-Servergruppenbefehle.
Konfigurieren von limitproxystate für alle Clients
Diese Konfiguration ermöglicht es dem NPS-Server, potenziell anfällige Access-Request--Pakete zu verwerfen, die ein Proxy-State--Attribut enthalten, aber kein Message-Authenticator-Attribut enthalten. Diese Konfiguration unterstützt drei Modi:
- Audit
- Aktivieren
- Deaktivieren
Im ModusÜberwachung wird ein Warnereignis (Ereignis-ID: 4419) protokolliert, aber die Anforderung wird weiterhin verarbeitet. Verwenden Sie diesen Modus, um die nicht konformen Entitäten zu identifizieren, die die Anforderungen senden.
Verwenden Sie den Netsh-Befehl, um bei Bedarf eine Ausnahme zu konfigurieren, zu aktivieren und hinzuzufügen.
Führen Sie den folgenden Befehl aus, um Clients im Modus Überwachung zu konfigurieren:
Hinweis
netsh nps set limitproxystate all = "audit"
Führen Sie den folgenden Befehl aus, um Clients im Modus Aktivieren zu konfigurieren:
Hinweis
netsh nps set limitproxystate all = "enable"
Führen Sie den folgenden Befehl aus, um eine Ausnahme hinzuzufügen, um einen Client von der limitProxystate-Überprüfung auszuschließen:
Hinweis
netsh nps set limitproxystate name = <client name> exception = "Yes"
requirems für Remoteserver konfigurieren
Diese Konfiguration ermöglicht es dem NPS-Proxy, potenziell anfällige Antwortnachrichten ohne das Message-Authenticator-Attribut zu verwerfen. Diese Konfiguration unterstützt drei Modi:
- Audit
- Aktivieren
- Deaktivieren
Im Modus Überwachung wird ein Warnereignis (Ereignis-ID: 4420) protokolliert, aber die Anforderung wird weiterhin verarbeitet. Verwenden Sie diesen Modus, um die nicht konformen Entitäten zu identifizieren, die die Antworten senden.
Verwenden Sie den Netsh-Befehl, um bei Bedarf eine Ausnahme zu konfigurieren, zu aktivieren und hinzuzufügen.
Führen Sie den folgenden Befehl aus, um Server im Modus Überwachung zu konfigurieren:
Hinweis
netsh nps setrequiremsgauthall = "audit"Führen Sie den folgenden Befehl aus, um Konfigurationen für alle Server zu aktivieren:
Hinweis
netsh nps set requirems alle
= "enable"Um eine Ausnahme hinzuzufügen, um einen Server von der requireauthmsg-Überprüfung auszuschließen, führen Sie den folgenden Befehl aus:
Hinweis
netsh nps set requireMsgAuth RemoteServerGroup = <Remoteserver Gruppenname> Adresse = <Serveradressausnahme> = "Ja"
Häufig gestellte Fragen
Was sollte geschehen, wenn VPN-Anforderungsfehler auftreten, nachdem die Konfigurationsaktivierung aufgrund von Nachrichtenausfällen aufgetreten ist?
Überprüfen Sie NPS-Modulereignisse auf verwandte Ereignisse. Erwägen Sie das Hinzufügen von Ausnahmen oder Konfigurationsanpassungen für betroffene Clients/Server.
Sind Konfigurationsänderungen oder Aktionen erforderlich, wenn das RADIUS-Netzwerk sicher ist?
Nein, die in diesem Artikel beschriebenen Konfigurationen werden für ungesicherte Netzwerke empfohlen.
Informationsquellen
Erläuterung von Standardbegriffen bei Microsoft-Softwareupdates
Haftungsausschluss für Drittanbieterinformationen
Die in diesem Artikel genannten Drittanbieterprodukte stammen von Herstellern, die von Microsoft unabhängig sind. Microsoft gewährt keine implizite oder sonstige Garantie in Bezug auf die Leistung oder Zuverlässigkeit dieser Produkte.
Die Kontaktinformationen zu den in diesem Artikel erwähnten Drittanbietern sollen Ihnen helfen, den benötigten technischen Support zu finden. Diese Kontaktinformationen können ohne vorherige Ankündigung geändert werden. Sie werden von Microsoft ohne jede Gewähr weitergegeben.