2020 LDAP-Kanalbindung und LDAP-Signaturanforderungen für Windows (KB4520412)

Einführung

LDAP-Kanalbindung und LDAP-Signatur bieten Möglichkeiten, die Sicherheit für die Kommunikation zwischen LDAP-Clients und Active Directory-Domänencontrollern zu erhöhen. Unter Active Directory-Domänencontrollern ist eine Reihe unsicherer Standardkonfigurationen für LDAP-Kanalbindung und LDAP-Signatur vorhanden, die LDAP-Clients die Kommunikation mit ihnen ermöglichen, ohne LDAP-Kanalbindung und LDAP-Signatur zu erzwingen. Dadurch können Active Directory-Domänencontroller mit einem Sicherheitsrisiko für Berechtigungen geöffnet werden.

Diese Sicherheitslücke könnte es einem Angreifer in der Mitte ermöglichen, eine Authentifizierungsanforderung erfolgreich an einen Microsoft-Domänenserver weiterzu weiterleiten, der nicht so konfiguriert ist, dass Kanalbindung, Signatur oder Bindungen für eingehende Verbindungen erforderlich sind.

Microsoft empfiehlt Administratoren, die in ADV190023 beschriebenen Änderungen vorzunehmen.

Am 10. März 2020 adressieren wir dieses Sicherheitsrisiko, indem wir Administratoren die folgenden Optionen zum Harden der Konfigurationen für LDAP-Kanalbindung auf Active Directory-Domänencontrollern bereitstellen:

• Domänencontroller: Anforderungen an die LDAP-Serverkanalbindung "Gruppenrichtlinie" aus.

• Channel Binding Tokens (CBT) signieren die Ereignisse 3039, 3040 und 3041 mit dem Ereignis sender Microsoft-Windows-Active Directory_DomainService im Verzeichnisdienst-Ereignisprotokoll.

Wichtig: Durch die Updates vom 10. März 2020 und in vorhersehbarer Zukunft werden sich die Standardrichtlinien für LDAP-Signierung oder LDAP-Kanalbindung oder deren Registrierungsentsprechung für neue oder vorhandene Active Directory-Domänencontroller nicht ändern.

Der Domänencontroller für LDAP-Signierung: Die Richtlinie für LDAP-Serversignaturanforderungen ist bereits in allen unterstützten Versionen von Windows.

Warum diese Änderung erforderlich ist

Die Sicherheit von Active Directory-Domänencontrollern kann erheblich verbessert werden, indem der Server SO konfiguriert wird, dass SASL-LDAP-Bind (Simple Authentication and Security Layer) abgelehnt werden, die keine Signatur anfordern (Integritätsüberprüfung) oder LDAP-einfache Binds ablehnen, die für eine Klartextverbindung (nicht SSL/TLS-verschlüsselt) ausgeführt werden. SASLs können Protokolle wie "Negotiate", "Kerberos", "NTLM" und "Digest" enthalten.

Nicht signierter Netzwerkdatenverkehr ist anfällig für Replay-Angriffe, bei denen ein Angreifer den Authentifizierungsversuch abfängt und ein Ticket abfängt. Die Angreifer können das Ticket wiederverwenden, um die Identität des berechtigten Benutzers zu imitieren. Darüber hinaus ist nicht signierter Netzwerkdatenverkehr anfällig für Man-in-the-Middle (MiTM)-Angriffe, bei denen ein Angreifer Pakete zwischen dem Client und dem Server erfasst, die Pakete ändert und diese dann an den Server weiterleiten. Wenn dies auf einem Active Directory-Domänencontroller auftritt, kann ein Angreifer einen Server dazu führen, Entscheidungen zu treffen, die auf gefälschten Anforderungen des LDAP-Clients basieren. LDAPS verwendet einen eigenen Netzwerkport, um Clients und Server zu verbinden. Der Standardport für LDAP ist Port 389, aber LDAPS verwendet Port 636 und richtet SSL/TLS beim Herstellen einer Verbindung mit einem Client ein.

Kanalbindungstoken helfen dabei, die LDAP-Authentifizierung über SSL/TLS vor Man-in-the-Middle-Angriffen sicherer zu machen.

Updates für den 10. März 2020

Wichtig Die Updates vom 10. März 2020 ändern keine Standardrichtlinien für LDAP-Signatur- oder LDAP-Kanalbindungen oder ihre Registrierungsentsprechung für neue oder vorhandene Active Directory-Domänencontroller.

Windows, die am 10. März 2020 veröffentlicht werden, fügen Sie die folgenden Features hinzu:

• Neue Ereignisse werden in der Ereignisanzeige im Zusammenhang mit LDAP-Kanalbindung protokolliert. Einzelheiten zu diesen Ereignissen finden Sie unter Tabelle 1 und Tabelle 2 .

• Ein neuer Domänencontroller: Anforderungen an das LDAP-Serverkanalbindungstoken Gruppenrichtlinien zum Konfigurieren der LDAP-Kanalbindung auf unterstützten Geräten.

Die Zuordnung zwischen LDAP-Signaturrichtlinieneinstellungen und Registrierungseinstellungen ist wie folgt enthalten:

• Richtlinieneinstellung: "Domänencontroller: Anforderungen für DIE LDAP-Serversignatur"

• Registrierungseinstellung: LDAPServerIntegrity

• Datentyp: DWORD

• Registrierungspfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

Die Zuordnung zwischen LDAP-Kanalbindungsrichtlinieneinstellungen und Registrierungseinstellungen ist wie folgt enthalten:

• Richtlinieneinstellung: "Domänencontroller: Anforderungen für LDAP-Serverkanalbindung"

• Registrierungseinstellung: LdapEnforceChannelBinding

• Datentyp: DWORD

• Registrierungspfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters  

Empfohlene Aktionen

Es wird dringend empfohlen, die folgenden Schritte so früh wie möglich zu unternehmen:

1. Installieren Sie die Updates vom 10. März 2020 Windows auf Domänencontroller-Rollencomputern, wenn die Updates veröffentlicht werden.

2. Aktivieren Sie die LDAP-Ereignis-Diagnoseprotokollierung auf 2 oder höher.

3. Überwachen des Ereignisprotokolls für Verzeichnisdienste auf allen Gleichungs-Rollencomputern gefiltert nach:

   • LDAP Signing failure event 2889 listed in Table 1.

   • LDAP Channel Binding failure event 3039 in Table 2.
     
     Hinweis Ereignis 3039 kann nur generiert werden, wenn Kanalbindung auf Wenn unterstützt oder Immer festgelegt ist.

4. Identifizieren Sie die Make, das Modell und den Gerätetyp für jede IP-Adresse, die von Ereignis 2889 als nicht signierte LDAP-Aufrufe oder von 3039-Ereignissen ohne LDAP-Kanalbindung zitiert wird.

Gruppieren Sie Gerätetypen in 1 von 3 Kategorien:

1. Gerät oder Router

   • Wenden Sie sich an den Geräteanbieter.

2. Gerät, das nicht unter einem Windows ausgeführt wird

   • Stellen Sie sicher, dass sowohl LDAP-Kanalbindung als auch LDAP-Signatur vom Betriebssystem und von Der Anwendung unterstützt werden, indem Sie mit dem Betriebssystem und dem Anwendungsanbieter arbeiten.

3. Gerät, das auf einem Windows ausgeführt wird

   • LDAP-Signatur ist für alle Anwendungen in allen unterstützten Versionen von Windows. Stellen Sie sicher, dass die Anwendung oder der Dienst LDAP-Signatur verwendet.

   • FÜR LDAP-Kanalbindungen muss CVE-2017-8563 auf allen Windows installiert sein. Stellen Sie sicher, dass die Anwendung oder der Dienst LDAP-Kanalbindung verwendet.

Verwenden Sie lokale, Remote-, generische oder gerätespezifische Ablaufverfolgungstools, einschließlich Netzwerkaufzeichnungen, Prozess-Manager oder Debugablaufverfolgungen, um festzustellen, ob das Kernbetriebssystem, ein Dienst oder eine Anwendung nicht signierte LDAP-Binds ausgeführt hat oder nicht CBT verwendet.

Verwenden Windows Task-Manager, oder ordnen Sie die Prozess-ID den Prozess-, Dienst- und Anwendungsnamen zu.

Zeitplan für Sicherheitsupdates

Die Updates vom 10. März 2020 bieten Administratoren Die Konfigurationen für LDAP-Kanalbindung und LDAP-Signatur bei Active Directory-Domänencontrollern werden von Administratoren bestimmt. Kunden wird dringend empfohlen, die in diesem Artikel empfohlenen Aktionen so früh wie möglich zu ergreifen.

Häufig gestellte Fragen

Antworten auf häufig gestellte Fragen zur LDAP-Kanalbindung und LDAP-Signatur bei Active Directory-Domänencontrollern finden Sie unter Häufig gestellte Fragen zu Änderungen am Lightweight Directory Access-Protokoll.