KB5021130: Τρόπος διαχείρισης των αλλαγών πρωτοκόλλου Netlogon που σχετίζονται με το CVE-2022-38023

Η αρχική φάση ανάπτυξης ξεκινά με τις ενημερώσεις που κυκλοφόρησαν στις 8 Νοεμβρίου 2022 και συνεχίζεται με μεταγενέστερες ενημερώσεις των Windows μέχρι τη φάση επιβολής. Οι ενημερώσεις των Windows στις ή μετά τις 8 Νοεμβρίου 2022 αντιμετωπίζουν την ευπάθεια παράκαμψης ασφαλείας του CVE-2022-38023 επιβάλλοντας σφράγιση RPC σε όλους τους υπολογιστές-πελάτες των Windows.

Από προεπιλογή, οι συσκευές θα ρυθμιστούν σε λειτουργία συμβατότητας. Οι ελεγκτές τομέα των Windows θα απαιτούν από τους υπολογιστές-πελάτες Netlogon να χρησιμοποιούν σφραγίδα RPC εάν εκτελούν τα Windows ή εάν ενεργούν είτε ως ελεγκτές τομέα είτε ως λογαριασμοί αξιοπιστίας.

Οι ενημερώσεις των Windows που κυκλοφόρησαν στις ή μετά τις 11 Απριλίου 2023 θα καταργήσουν τη δυνατότητα απενεργοποίησης της σφράγισης RPC ορίζοντας την τιμή 0 στο δευτερεύον κλειδί μητρώου RequireSeal .

Το δευτερεύον κλειδί μητρώου RequireSeal θα μετακινηθεί στην επιβαλλόμενη λειτουργία, εκτός εάν οι διαχειριστές ρυθμίσουν ρητά τις παραμέτρους ώστε να βρίσκονται σε κατάσταση λειτουργίας συμβατότητας. Ο έλεγχος ταυτότητας για τις ευάλωτες συνδέσεις από όλους τους υπολογιστές-πελάτες, συμπεριλαμβανομένων των τρίτων, δεν θα επιτρέπεται. Δείτε Αλλαγή 1.

Οι ενημερώσεις των Windows που κυκλοφόρησαν στις 11 Ιουλίου 2023 θα καταργήσουν τη δυνατότητα ορισμού της τιμής 1 στο δευτερεύον κλειδί μητρώου RequireSeal . Αυτό επιτρέπει τη φάση επιβολής του CVE-2022-38023.

Εάν βρείτε αυτό το μήνυμα σφάλματος στα αρχεία καταγραφής συμβάντων, πρέπει να προβείτε στις παρακάτω ενέργειες για να επιλύσετε το σφάλμα συστήματος:

• Επιβεβαιώστε ότι η συσκευή εκτελεί μια υποστηριζόμενη έκδοση των Windows.
• Ελέγξτε για να βεβαιωθείτε ότι όλες οι συσκευές είναι ενημερωμένες.
• Ελέγξτε για να βεβαιωθείτε ότι το στοιχείο Μέλος τομέα: Μέλος τομέα Ψηφιακή κρυπτογράφηση ή υπογραφή ασφαλών δεδομένων καναλιού (πάντα) έχει οριστεί σε Ενεργοποιημένο .

Εάν βρείτε το συμβάν 5840, αυτό είναι μια ένδειξη ότι ένας υπολογιστής-πελάτης στον τομέα σας χρησιμοποιεί ασθενή κρυπτογράφηση.

Εάν βρείτε το συμβάν 5841, αυτό είναι ένα σημάδι ότι η τιμή RejectMD5Clients έχει οριστεί σε TRUE .

Το κλειδί RejectMD5Clients είναι ένα προϋπάρχον κλειδί στην υπηρεσία Netlogon. Για περισσότερες πληροφορίες, ανατρέξτε στην περιγραφή RejectMD5Clients του μοντέλου αφηρημένων δεδομένων.

Όλοι οι λογαριασμοί υπολογιστή που συμμετέχουν σε τομέα επηρεάζονται από αυτό το CVE. Τα συμβάντα θα δείχνουν ποιος επηρεάζεται περισσότερο από αυτό το πρόβλημα μετά την εγκατάσταση των ενημερώσεων των Windows της 8ης Νοεμβρίου 2022 ή μεταγενέστερης, ανατρέξτε στην ενότητα Σφάλματα αρχείου καταγραφής συμβάντων για να αντιμετωπίσετε τα προβλήματα.

Για τον εντοπισμό παλαιότερων υπολογιστών-πελατών που δεν χρησιμοποιούν τα ισχυρότερα διαθέσιμα κρυπτονομίσματα, αυτή η ενημερωμένη έκδοση εισάγει αρχεία καταγραφής συμβάντων για υπολογιστές-πελάτες που χρησιμοποιούν RC4.

Η υπογραφή RPC είναι όταν το πρωτόκολλο Netlogon χρησιμοποιεί RPC για την υπογραφή των μηνυμάτων που στέλνει μέσω του καλωδίου. Η σφράγιση RPC είναι όταν το πρωτόκολλο Netlogon υπογράφει και κρυπτογραφεί τα μηνύματα που στέλνει μέσω του καλωδίου.

Ο ελεγκτής τομέα των Windows προσδιορίζει εάν ένας υπολογιστής-πελάτης Netlogon εκτελεί τα Windows υποβάλλοντας ερώτημα στο χαρακτηριστικό "OperatingSystem" στην υπηρεσία καταλόγου υπηρεσία καταλόγου Active Directory για τον υπολογιστή-πελάτη Netlogon και ελέγχοντας για τις ακόλουθες συμβολοσειρές:

• "Windows", "Hyper-V Server" και "Azure Stack HCI"

Δεν συνιστάμε ούτε υποστηρίζουμε την αλλαγή αυτού του χαρακτηριστικού από τους υπολογιστές-πελάτες Netlogon ή τους διαχειριστές τομέα σε μια τιμή που δεν είναι αντιπροσωπευτική του λειτουργικού συστήματος (OS) που εκτελεί ο υπολογιστής-πελάτης Netlogon. Θα πρέπει να γνωρίζετε ότι ενδέχεται να αλλάξουμε τα κριτήρια αναζήτησης ανά πάσα στιγμή. Δείτε την Αλλαγή 3.

Η φάση επιβολής δεν απορρίπτει τους υπολογιστές-πελάτες Netlogon με βάση τον τύπο κρυπτογράφησης που χρησιμοποιούν οι υπολογιστές-πελάτες. Θα απορρίψει τους υπολογιστές-πελάτες Netlogon μόνο αν υπογράφουν RPC αντί για σφράγιση RPC. Η απόρριψη των υπολογιστών-πελατών RC4 Netlogon βασίζεται στο κλειδί μητρώου "RejectMd5Clients" που είναι διαθέσιμο στους ελεγκτές τομέα Windows Server 2008 R2 και νεότερες εκδόσεις των Windows. Η φάση επιβολής για αυτήν την ενημερωμένη έκδοση δεν αλλάζει την τιμή "RejectMd5Clients". Συνιστούμε στους πελάτες να ενεργοποιήσουν την τιμή "RejectMd5Clients" για μεγαλύτερη ασφάλεια στους τομείς τους. Δείτε την Αλλαγή 3.

Το Advanced Encryption Standard (AES) είναι ένα μπλοκ κρυπτογράφησης που αντικαθιστά το Data Encryption Standard (DES). Το AES μπορεί να χρησιμοποιηθεί για την προστασία ηλεκτρονικών δεδομένων. Ο αλγόριθμος AES μπορεί να χρησιμοποιηθεί για την κρυπτογράφηση (κρυπτογράφηση) και αποκρυπτογράφηση (αποκρυπτογράφηση) πληροφοριών. Η κρυπτογράφηση μετατρέπει τα δεδομένα σε μια ακατανόητη μορφή που ονομάζεται κρυπτογραφημένο κείμενο. Η αποκρυπτογράφηση του κρυπτογραφημένου κειμένου μετατρέπει τα δεδομένα πίσω στην αρχική τους μορφή, που ονομάζεται απλό κείμενο. Το AES χρησιμοποιείται στην κρυπτογράφηση συμμετρικού κλειδιού, πράγμα που σημαίνει ότι το ίδιο κλειδί χρησιμοποιείται για τις λειτουργίες κρυπτογράφησης και αποκρυπτογράφησης. Είναι επίσης ένας κρυπτογράφηση μπλοκ, που σημαίνει ότι λειτουργεί σε μπλοκ σταθερού μεγέθους απλού κειμένου και κρυπτογραφημένου κειμένου και απαιτεί το μέγεθος του απλού κειμένου καθώς και του κρυπτογραφικού κειμένου να είναι ακριβές πολλαπλάσιο αυτού του μεγέθους μπλοκ. Το AES είναι επίσης γνωστό ως αλγόριθμος συμμετρικής κρυπτογράφησης Rijndael [FIPS197].

Σε ένα περιβάλλον ασφαλείας δικτύου συμβατό με το λειτουργικό σύστημα των Windows NT, το στοιχείο που είναι υπεύθυνο για τις λειτουργίες συγχρονισμού και συντήρησης μεταξύ ενός πρωτεύοντα ελεγκτή τομέα (PDC) και των εφεδρικών ελεγκτών τομέα (BDC). Το Netlogon είναι πρόδρομος του πρωτοκόλλου διακομιστή αναπαραγωγής καταλόγου (DRS). Η διασύνδεση κλήσης απομακρυσμένης διαδικασίας (RPC) Netlogon Remote Protocol χρησιμοποιείται κυρίως για τη διατήρηση της σχέσης μεταξύ μιας συσκευής και του τομέα της, καθώς και των σχέσεων μεταξύ ελεγκτών τομέα (DC) και τομέων. Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα Απομακρυσμένο πρωτόκολλο Netlogon.

Το RC4-HMAC (RC4) είναι ένας αλγόριθμος συμμετρικής κρυπτογράφησης μεταβλητού μήκους κλειδιού. Για περισσότερες πληροφορίες, βλέπε [SCHNEIER] τμήμα 17.1.

Μια σύνδεση κλήσης απομακρυσμένης διαδικασίας (RPC) με έλεγχο ταυτότητας μεταξύ δύο υπολογιστών σε έναν τομέα με καθορισμένο περιβάλλον ασφαλείας που χρησιμοποιείται για την υπογραφή και την κρυπτογράφηση πακέτων RPC .