Kuidas hallata Kerberose KDC kasutust RC4 teenusekonto pileti väljaandmismuudatustel, mis on seotud CVE-2026-20833

Selle artikli teemad

• Kokkuvõte
• Olge aktiivne
• Värskenduste ajastus
• Juurutamisjuhised
• Registrisätted
• Auditisündmused
• Korduma kippuvad küsimused (KKK)
• Ressursid
• Muudatuste logi

Kokkuvõte

Windowsi värskendused, mis on välja antud 13. jaanuaril 2026 ja pärast seda, sisaldavad kaitset Kerberose autentimisprotokolli nõrkuste eest. Windowsi värskendused lahendavad teabe avaldamise nõrkuse versioonis CVE-2026-20833 , mis võib lubada ründajal hankida nõrkade või pärandkrüptimistüüpidega (nt RC4) teenusekonto parooli taastamiseks võrguühenduseta rünnakuid.

Selle nõrkuse leevendamiseks muudavad Windowsi värskendused, mis anti välja 14. aprillil 2026 ja pärast seda, Kerberose võtmelevituskeskuse (KDC) vaikeväärtust DefaultDomainSupportedEncTypes, v.a juhul, kui administraatorid lubavad jõustamisrežiimi varem. Värskendatud domeenikontrollerid, mis töötavad jõustamisrežiimis, eeldavad täiustatud krüptimise Standard (AES) krüptimistüübi konfiguratsioonide tuge ainult juhul, kui konkreetset konfiguratsiooni pole määratud. Lisateavet leiate teemast Toetatud krüptimistüüpide bitilipud. Vaikeväärtus DefaultDomainSupportedEncTypes rakendub konkreetse väärtuse puudumisel.

Domeenikontrollerites, millel on määratletud registriväärtus DefaultDomainSupportedEncTypes , ei mõjuta need muudatused käitumist funktsionaalselt. Auditisündmuse KDCSVC sündmuse ID: 205 logitakse süsteemi sündmuselogisse, kui olemasolev konfiguratsiooni DefaultDomainSupportedEncTypes on ebaturvaline (nt RC4 šifri kasutamisel).

tagasi üles

Olge aktiivne

Teie keskkonna kaitsmiseks ja katkestuste vältimiseks soovitame teha järgmist.

• VÄRSKENDA Microsoft Active Directory domeenikontrollerid alates Windowsi värskendustest, mis on välja antud 13. jaanuaril 2026 või hiljem.
• JÄLGIGE süsteemisündmuste logi üheksa KDCSVC 201 > 209 auditisündmusi, mis on logitud Windows Server 2012 ja uuemate domeenikontrolleritega, mis tuvastavad RC4 kaitse lubamisega seotud riske.
• LEEVENDAMINE Süsteemisündmuste logisse logitud KDCSVC-sündmused, mis takistavad RC4 kaitse käsitsi või programmiliselt lubamist.
• LUBA Jõustamisrežiim CVE-2026-20833 haavatavuste lahendamiseks teie keskkonnas, kui hoiatus-, blokeerimis- või poliitikasündmusi enam ei logita.

Jõustamisrežiim lubatakse automaatselt, installides 2026. aasta aprillis või pärast seda välja antud Windowsi Teabevärskendused kõigisse Windowsi domeenikontrolleritesse ja blokeerib haavatavad ühendused nõuetele mittevastavate seadmete eest.  Sel ajal ei saa te auditeerimist keelata, kuid võite minna tagasi auditirežiimi sättele. Auditirežiim eemaldatakse juulis 2026, nagu on kirjeldatud jaotises Värskenduste ajastus , ja jõustamisrežiim lubatakse kõigis Windowsi domeenikontrollerites ja see blokeerib haavatavad ühendused nõuetele mittevastavate seadmete eest.

Kui teil on vaja kasutada RC4 pärast aprilli 2026, soovitame RC4 selgesõnaliselt lubada msds-SupportedEncryptionTypesi bitimaski teenustes, mis peavad aktsepteerima RC4 kasutust.

tagasi üles

Värskenduste ajastus

13. jaanuar 2026 – algne juurutamise etapp

Algne juurutusetapp algab värskendustega, mis on välja antud 13. jaanuaril 2026 ja mis kestab hilisemate Windowsi värskendustega kuni jõustamisetapini . See etapp hoiatab kliente uute turbemeetmete eest, mis võetakse kasutusele teises juurutamise etapis. See värskendus:

• Pakub auditisündmusi, et hoiatada kliente, keda eelseisv turbekius võib negatiivselt mõjutada.
• Tutvustab registriväärtuse RC4DefaultDisablementPhase tuge pärast seda, kui administraator lubab ennetavalt muudatuse, määrates domeenikontrollerite väärtuseks 2 , kui KDCSVC auditisündmused näitavad, et seda on ohutu teha.

14. aprill 2026 – jõustamise etapp koos käsitsi tagasipööramisega

See värskendus muudab KDC-toimingute vaikeväärtuse DefaultDomainSupportedEncTypes nii, et see kasutaks AES-SHA1 kontode puhul, millel pole määratletud otseseid msds-SupportedEncryptionTypesi Active Directory atribuute .

See faas muudab vaikeväärtuse DefaultDomainSupportedEncTypes väärtuseks ainult AES-SHA1: 0x18.

See faas lubab ka RC4DefaultDisablementPhase'i tagasipööramise väärtuse käsitsi konfigureerida kuni programmilise jõustamiseni juulis 2026.

2026. aasta juuli – jõustamise etapp

2026. aasta juulis või pärast seda välja antud Windowsi värskendused eemaldavad registri alamvõtme RC4DefaultDisablementPhase toe.

tagasi üles

Juurutamisjuhised

13. jaanuaril 2026 või hiljem välja antud Windowsi värskenduste juurutamiseks tehke järgmist.

1. Värskendage oma domeenikontrollereid Windowsi värskendusega, mis on välja antud 13. jaanuaril 2026 või hiljem.
2. Jälgige esmase juurutamise etapis logitud sündmusi, mis aitavad teie keskkonda kaitsta.
3. Viige domeenikontrollerid jõustamisrežiimi , kasutades jaotist Registrisätted .

1. toiming: VÄRSKENDAMINE

Juurutage Windowsi värskendus, mis on välja antud 13. jaanuaril 2026 või hiljem, kõigile kohaldatavatele Windows Active Directoryle, mis töötab domeenikontrollerina pärast värskenduse juurutamist.

• Auditisündmused kuvatakse süsteemi sündmuselogides, kui teie Windows Server 2012 või uuemad domeenikontrollerid võtavad vastu Kerberose teenusepiletitaotlusi, mis nõuavad RC4 šifri kasutamist, kuid teenusekontol on vaikekrüptimise konfiguratsioon.
• Auditisündmus 205 logitakse süsteemi sündmuselogisse, kui teie domeenikontrolleril on RC4 krüptimise lubamiseks otsekonfiguratsioon DefaultDomainSupportedEncTypes .

2. juhis: JÄLGIMINE

Kui domeenikontrollerid on värskendatud ja te ei näe selles artiklis dokumenteeritud auditisündmusi, aktiveerige jõustamisrežiim , muutes registriväärtuse RC4DefaultDisablementPhase väärtuseks 2.

Kui genereeritakse auditisündmusi, peate kas RC4 sõltuvused eemaldama või selgesõnaliselt konfigureerima atribuudi accounts msds-SupportedEncryptionTypes , et toetada jõustamisrežiimi käsitsi või automaatset lubamist RC4 jätkuvat kasutamist.

Administraatoritele, kes on huvitatud RC4 kasutuse laiemalt lahendamisest, kui selles artiklis käsitletakse, soovitame lisateabe saamiseks läbi vaadata kerberoses RC4 kasutamise tuvastamine ja kõrvaldamine .

3. toiming: LUBAMINE

Jõustamisrežiimi lubamine CVE-2026-20833 nõrkuste lahendamiseks teie keskkonnas.

• Kui KDC-lt taotletakse vaikekonfiguratsioonidega kontole RC4 teenusepileti pakkumist, logitakse tõrkesündmus.
• Kuvatakse jätkuvalt sündmuse ID: 205 , mis on logitud mis tahes ebaturvalise konfiguratsiooni defaultDomainSupportedEncTypes jaoks.

tagasi üles

Registrisätted

Pärast Windowsi värskenduste installimist 13. jaanuaril 2026 või pärast seda on installitud, on Kerberose protokolli jaoks saadaval järgmine registrivõti.

RC4DefaultDisablementPhase

Seda registrivõtit kasutatakse Kerberose muudatuste juurutamiseks. See registrivõti on ajutine ja seda ei loeta pärast jõustamiskuupäeva enam ette.

Registrivõti	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
Andmetüüp	REG_DWORD
Väärtuse nimi	RC4DefaultDisablementPhase
Väärtuseandmed	0 – auditit pole, muudatusi pole 1 – hoiatussündmused logitakse RC4 vaikekasutuses. (Vaikefaas 1) 2 – Kerberos hakkab eeldama, et RC4 pole vaikimisi lubatud. (Vaikefaas 2)
Kas taaskäivitamine on nõutav?	Jah

tagasi üles

Auditisündmused

Pärast Windowsi värskenduste installimist 13. jaanuaril 2026 või pärast seda lisatakse järgmised KSCSVC auditi sündmusetüübid Windows Server 2012 ja uuemate versioonide süsteemisündmuste logisse, mis töötavad domeenikontrollerina.

Selle jaotise teemad

• Sündmuse ID: 201
• Sündmuse ID: 202
• Sündmuse ID: 203
• Sündmuse ID: 204
• Sündmuse ID: 205
• Sündmuse ID: 206
• Sündmuse ID: 207
• Sündmuse ID: 208
• Sündmuse ID: 209
• Märkus teenusepileti krüptimise valiku kaudse muutuse kohta

tagasi üles

Sündmuse ID: 201

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	201
Sündmuse tekst	Võtmelevituskeskus tuvastas <šifrinime> kasutuse, mida jõustamisfaasis ei toetata, kuna teenuse msds-SupportedEncryptionTypes pole määratletud ja klient toetab ainult ebaturvaliseid krüptimistüüpe. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Sündmuse ID: 201 logitakse järgmistel juhtudel. Klient reklaamib RC4-t ainult advertiseeritud E-tüüpidena Sihtteenuse jaoks pole msds-SET määratletud Domeenikontrolleril POLE DDSET-i määratletud Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 1 Warning Event 201 transitions into Error event 203 in Enforcement mode See sündmus logitakse taotluse kohta Hoiatussündmust 201 EI logita, kui DefaultDomainSupportedEncTypes on käsitsi määratletud

tagasi auditisündmuste juurde

Sündmuse ID: 202

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	202
Sündmuse tekst	Võtmelevituskeskus tuvastas <šifrinime> kasutuse, mida jõustamisfaasis ei toetata, kuna teenuse msds-SupportedEncryptionTypes pole määratletud ja teenusekontol on ainult ebaturvalised võtmed. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Hoiatussündmus 202 logitakse järgmistel juhtudel. Sihtteenusel pole AES-võtmeid Sihtteenuse jaoks pole msds-SET määratletud Domeenikontrolleril POLE DDSET-i määratletud Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 1 Error event 202 transitions into Error 204 in Enforcement mode Hoiatussündmus 202 logitakse iga taotluse kohta sisse Hoiatussündmust 202 EI logita, kui DefaultDomainSupportedEncTypes on käsitsi määratletud

tagasi auditisündmuste juurde

Sündmuse ID: 203

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	203
Sündmuse tekst	Võtmelevituskeskus blokeeris šifrikasutuse, kuna service msds-SupportedEncryptionTypes pole määratletud ja klient toetab ainult ebaturvalist krüptimistüüpi. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Tõrkesündmus 203 logitakse järgmistel juhtudel. Klient reklaamib RC4-t ainult advertiseeritud E-tüüpidena Sihtteenuse jaoks pole msds-SET määratletud Domeenikontrolleril POLE DDSET-i määratletud Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 2 Taotluse kohta

tagasi auditisündmuste juurde

Sündmuse ID: 204

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	204
Sündmuse tekst	Võtmelevituskeskus blokeeris šifrikasutuse, kuna teenuse msds-SupportedEncryptionTypes pole määratletud ja teenusekontol on ainult ebaturvalised võtmed. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Tõrkesündmus 204 logitakse järgmistel juhtudel. Sihtteenusel pole AES-võtmeid Sihtteenuse jaoks pole msds-SET määratletud Domeenikontrolleril POLE DDSET-i määratletud Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 2 Taotluse kohta

tagasi auditisündmuste juurde

Sündmuse ID: 205

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	205
Sündmuse tekst	Võtmelevituskeskus tuvastas domeeni toetatud vaikekrüptimistüüpide poliitikakonfiguratsioonis selgesõnalise šifri lubamise. Šifrid: <lubatud ebaturvaline šifrid> DefaultDomainSupportedEncTypes: <configured DefaultDomainSupportedEncTypes Value> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Hoiatussündmus 205 logitakse järgmistel juhtudel. Domeenikontroller HAS DDSET on määratlenud kaasama kõik peale AES-SHA1. Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 1, 2 See ei muutu kunagi tõrkeks Eesmärk on teavitada klienti ebaturvalisest käitumisest, mida me ei muuda Logitud iga kord KDCSVC alguses

tagasi auditisündmuste juurde

Sündmuse ID: 206

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	206
Sündmuse tekst	Võtmelevituskeskus tuvastas <šifrinime> kasutuse, mida jõustamise etapis ei toetata, kuna teenus msds-SupportedEncryptionTypes on konfigureeritud toetama ainult AES-SHA1, kuid klient ei reklaami AES-SHA1 Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Hoiatussündmus 206 logitakse järgmistel juhtudel. Klient reklaamib RC4-t ainult advertiseeritud E-tüüpidena Ilmneb üks järgmistest. Sihtteenus ON msds-SET määratletud ainult AES-SHA1 jaoks Domeenikontroller HAS DDSET on määratletud ainult AES-SHA1 puhul Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 1 Hoiatussündmus 2016 siire tõrkesündmusele 2018 jõustamisrežiimis Iga taotluse alusel sisse logitud

tagasi auditisündmuste juurde

Sündmuse ID: 207

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	207
Sündmuse tekst	Võtmelevituskeskus tuvastas <šifrinime> kasutuse, mida jõustamisetapis ei toetata, kuna teenus msds-SupportedEncryptionTypes on konfigureeritud toetama ainult AES-SHA1, kuid teenusekontol pole AES-SHA1 võtmeid. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Hoiatussündmus 207 logitakse järgmistel juhtudel. Sihtteenusel pole AES-võtmeid Ilmneb üks järgmistest. Sihtteenus ON msds-SET määratletud ainult AES-SHA1 jaoks Domeenikontroller HAS DDSET on määratletud ainult AES-SHA1 puhul Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 1 See muutub jõustamisrežiimis 209-ks (tõrge) Taotluse kohta

tagasi auditisündmuste juurde

Sündmuse ID: 208

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	208
Sündmuse tekst	Võtmelevituskeskus on tahtlikult keelatud šifrikasutuse, kuna teenus msds-SupportedEncryptionTypes on konfigureeritud toetama ainult AES-SHA1, kuid klient ei reklaami AES-SHA1 Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Tõrkesündmus 208 logitakse järgmistel juhtudel. Klient reklaamib RC4-t ainult advertiseeritud E-tüüpidena Ilmneb järgmine EIther: Sihtteenus ON msds-SET määratletud ainult AES-SHA1 jaoks Domeenikontroller HAS DDSET on määratletud ainult AES-SHA1 puhul Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 2 Taotluse kohta

tagasi auditisündmuste juurde

Sündmuse ID: 209

Sündmuste logi	Süsteem
Sündmuse tüüp	Hoiatus
Sündmuse allikas	Kdcsvc
Sündmuse ID	209
Sündmuse tekst	Võtmelevituskeskus on šifrikasutuse tahtlikult keelanud, kuna service msds-SupportedEncryptionTypes on konfigureeritud toetama ainult AES-SHA1, kuid teenusekontol pole AES-SHA1 võtmeid. Kontoteave Konto nimi: <Konto nimi> Esitatud valdkonda nimi: <antud ala nimi> msds-SupportedEncryptionTypes: <toetatud krüptimistüübid> Saadaolevad klahvid: <saadaolevad klahvid> Teenuseteave: Teenuse nimi: <teenuse nimi> Teenuse ID: <teenuse SID> msds-SupportedEncryptionTypes: <teenuse toetatud krüptimistüübid> Saadaolevad võtmed: <hooldus saadaolevad võtmed> Domeenikontrolleri teave: msds-SupportedEncryptionTypes: <domeenikontrolleri toetatud krüptimistüübid> DefaultDomainSupportedEncTypes: <väärtus DefaultDomainSupportedEncTypes> Saadaolevad võtmed: <domeenikontrolleri saadaolevad võtmed> Võrguteave: Kliendi aadress: <kliendi IP-aadress> Kliendi port: <kliendi port> Advertiseeritud e-tüübid: <advertiseeritud Kerberose krüptimistüübid> Lisateavet leiate https://go.microsoft.com/fwlink/?linkid=2344614.
Kommentaarid	Tõrkesündmus 209 logitakse järgmistel juhtudel. Sihtteenusel pole AES-võtmeid Ilmneb üks järgmistest. Sihtteenus ON msds-SET määratletud ainult AES-SHA1 jaoks Domeenikontroller HAS DDSET on määratletud ainult AES-SHA1 puhul Registriväärtuse RC4DefaultDisablementPhase väärtuseks on seatud 2 Taotluse kohta

tagasi auditisündmuste juurde

Märkus

Seoses teenusepileti krüptimise valiku kaudse muutusega on Microsoftil piiratud nähtavus põhjustesse, miks mitte-Windowsi seade ei pruugi pärast KDC-de rakendamist aprilli värskenduse rakendamist kerberose autentimist aktsepteerida ja määramata ajal aktiveerida AES-SHA1 vaikekäitumise. Soovitame need muudatused valideerida oma keskkonnas testimise teel, enne kui lubate selle käitumise üldjoontes.

Kõige levinum koht, kus see esineb, on seadmetes, kus on võimendatud Kerberose võtmetablood. Kui Kerberose võtmekaart on eksporditud ainult RC4 võtmetega, kuid sihtteenuse kontol on AES-SHA1 võtmed ja määratletud pole msds-SupportedEncryptionTypes, siis on võimalik, et nimetatud teenuse autentimine nurjub. Tõenäoliselt ilmneb see autentimistõrgete kujul sihtteenusest, mitte KDC-st.

Meie peamine soovitus on töötada mitte-Windowsi seadme tarnijaga. Üldiselt ei ole kerberose autentimise aktsepteerimise mitte-Windowsi seadmete tõrked aprillis tehtud muudatustele ainuomased ja võivad tuleneda seadmekohastest või rakenduskohastest piirangutest.

Kui Kerberose autentimisprobleemid ilmnevad pärast seda muudatust ka mitte-Windowsi seadmetes ja hankija kõrvaldamine ei ole teostatav, on meie soovitused järgmised.

• Määratlege mõjutatud teenusekontol selgesõnaliselt msDS-SupportedEncryptionTypes , et kaasata RC4 AES-i seansivõtmetega (0x24).
• Kui see ei ole võimalik, konfigureerige viimase võimalusena käsitsi kõigi asjakohaste KDCde registriväärtus DefaultDomainSupportedEncTypes , et kaasata RC4 koos AES-SHA1 seansivõtmetega (0x24). Pange tähele, et see jätab kõik domeeni kontod CVE-2026-20833 suhtes haavatavaks.

Oluline on märkida, et see konfiguratsioon on ebaturvaline ja meie pikaajaline soovitus on migreerida mitte-Windowsi seadmed versioonidesse, mis toetavad AES-SHA1 Kerberose piletikrüptimist.

tagasi auditisündmuste juurde

Korduma kippuvad küsimused (KKK)

K1. Kuidas mõjutab see muudatus muude tootjate KDC-sid sisaldavaid domeene?

See tugevnev muudatus mõjutab ainult Windowsi domeenikontrollereid. See ei mõjuta Kerberose usaldus- ja viitamisvoogu teiste Windowsi domeenikontrollerite või muude tootjate KDCdega.

K2: Kuidas mõjutab see muudatus domeene, millel on mitte-Windowsi domeeniseadmed?

Kolmanda osapoole domeeniseadmed, mis ei saa AES-SHA1 krüptimist töödelda, peaksid olema RC4-krüptimise lubamiseks juba konkreetselt konfigureeritud. Teenused, mis ei saa AES-SHA1 pileteid töödelda, tuleb parandada või konfigureerida Active Diretory-s RC4-krüptimise pakkumiseks, nagu eespool märgitud. Kinnitage need muudatused põhjalikult.

Küsimus 3. Kas Microsoft eemaldab funktsiooni DefaultDomainSupportedEncTypes konfigureerimise võimaluse?

Ei. Logime hoiatussündmused ebaturvaliste konfiguratsioonide defaultDomainSupportedEncTypes jaoks. Lisaks austame kõiki administraatori määratud konfiguratsioone.

tagasi üles

Ressursid

• KB5020805: Kuidas hallata Kerberose protokolli muudatusi, mis on seotud CVE-2022-37967
• KB5021131: Kuidas hallata Kerberose protokolli muudatusi, mis on seotud CVE-2022-37966
• Toetatud krüptimistüüpide bitilipud

tagasi üles

Muudatuste logi

Muuda kuupäeva	Muuda kirjeldust
14. aprill 2026	Värskendatud on 2026. aasta aprilli kuupäeva, et kajastada "Jõustamisetapi koos käsitsi tagasipööramisega" väljaandmise tegelikku kuupäeva. Määratletud Kerberose KDC jaotise "Kokkuvõte" teise lõigu esimeses lauses. Saatja: Selle nõrkuse leevendamiseks muudab Windows 2026. aasta 14. aprillil ja pärast 14. aprilli 2026 välja antud Windowsi Teabevärskendused vaikeväärtust DefaultDomainSupportedEncTypes või administraatorid, kes lubavad jõustamisrežiimi varem. Järgmistest kohtades. Selle nõrkuse leevendamiseks muudavad Windowsi värskendused, mis anti välja 14. aprillil 2026 ja pärast seda, Kerberose võtmelevituskeskuse (KDC) vaikeväärtust DefaultDomainSupportedEncTypes, v.a juhul, kui administraatorid lubavad jõustamisrežiimi varem.
7. aprill 2026	Selguse huvides kirjutas teine lõik jaotises "Kokkuvõte" ümber. Pange oluline märkus jaotisesse "2. toiming: JÄLGIMINE", et rõhutada selle tähtsust. Pange tähele tähtsat märget. Lisati jaotise KKK kohale märkusele uus teine lõik.
16. märts 2026	Selguse huvides kirjutatakse jaotises "Juurutusjuhised" ümber "Juhis 2: MONITOR". Selguse huvides kirjutatakse uuesti vastus tekstile "Kuidas mõjutab see muudatus mitte-Windowsi domeeniseadmeid kasutavaid domeene?". KKK küsimus. Lisati märkus selle kohta, kuidas need muudatused võivad mõjutada mitte-Windowsi teenuseid.
10. veebruar 2026	Lisati dokumentatsiooni link defaultDomainSupportedEncTypes esinemiskordadele. Parandati jaotise "Etapp3: Luba" teise täpi punkti sõnastus. Saatja: Tutvustab registriväärtust RC4DefaultDisablementPhase, et ennetavalt lubada muudatus, määrates domeenikontrollerite väärtuseks 2, kui KDCSVC auditisündmused näitavad, et seda on ohutu teha. Järgmistest kohtades. Tutvustab registriväärtuse RC4DefaultDisablementPhase tuge pärast seda, kui administraator lubab ennetavalt muudatuse, määrates domeenikontrollerite väärtuseks 2, kui KDCSVC auditisündmused näitavad, et seda on ohutu teha. Muutis jaotise "Toiming" olulise märkuse all lõigu esimest lauset, et näidata umbes, millal jõustamisrežiim on lubatud. Saatja: Alates aprillist 2026 on jõustamisrežiim lubatud kõigis Windowsi domeenikontrollerites ja see blokeerib haavatavad ühendused nõuetele mittevastavate seadmete eest. Järgmistest kohtades. Jõustamisrežiim lubatakse automaatselt, installides 2026. aasta aprillis või pärast seda välja antud Windowsi Teabevärskendused kõigisse Windowsi domeenikontrolleritesse ja blokeerib haavatavad ühendused nõuetele mittevastavate seadmete eest. Selle muudatuse mainimiseks on lisatud sõnastus, mille teeb Windows Teabevärskendused välja andnud 13. jaanuaril 2026 ja pärast seda ning CVE-2026-20833.

tagasi üles