KB5014754: Varmennepohjaisen todentamisen muutokset Windowsin toimialueen ohjauskoneissa

Vahvoja varmennemäärityksiä ei löytynyt, eikä varmenteella ollut KDC:n vahvistamaa uutta suojaustunnistetta (SID).

Varmenne on myönnetty käyttäjälle ennen kuin käyttäjä oli olemassa Active Directoryssa, eikä vahvaa yhdistämistä löytynyt. Tämä tapahtuma kirjataan lokiin vain, kun KDC on yhteensopivuustilassa.

Käyttäjien varmenteen uuden tunnisteen sisältämä SID-tunnus ei vastaa käyttäjän SID-tunnusta, mikä viittaa siihen, että varmenne on myönnetty toiselle käyttäjälle.

Huomautus Tietyt kentät, kuten Myöntäjä, Aihe ja Sarjanumero, raportoidaan välitysmuodossa. Sinun on käännettävä tämä muotoilu, kun lisäät yhdistämismerkkijonon altSecurityIdentities-määritteeseen . Jos haluat esimerkiksi lisätä X509IssuerSerialNumber-määrityksen käyttäjään, tee haku sen varmenteen Myöntäjä- ja Sarjanumero-kentistä, jotka haluat yhdistää käyttäjään. Katso alla oleva mallitulos.

• Myöntäjä: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Sarjanumero: 2B0000000011AC000000012

Päivitä sitten käyttäjän altSecurityIdentities-määrite Active Directoryssa seuraavalla merkkijonolla:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>12000000000AC11000000002B"

Voit päivittää tämän määritteen PowerShellin avulla käyttämällä alla olevaa komentoa. Muista, että oletusarvoisesti vain toimialueen järjestelmänvalvojilla on oikeus päivittää tämä määrite.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>12000000000AC11000000002B"}

Huomaa, että kun määrität sarjanumeron käänteiseksi, tavujärjestys on säilytettävä. Tämä tarkoittaa sitä, että "A1B2C3"-sarjanumeron kääntämisen pitäisi palauttaa merkkijonoksi "C3B2A1" eikä "3C2B1A". Lisätietoja on ohjeaiheessa Käyttäjän määrittäminen varmenteeseen kaikilla altSecurityIdentities-määritteessä käytettävissä olevilla tavoilla.

Kun olet asentanut 10. toukokuuta 2022 julkaistut Windows-päivitykset, laitteet ovat yhteensopivuustilassa. Jos varmenne voidaan määrittää vahvasti käyttäjään, todennus toimii odotetulla tavalla. Jos varmenne voidaan määrittää käyttäjään vain heikosti, todennus toimii odotetulla tavalla. Varoitussanoma kuitenkin kirjataan lokiin, ellei varmenne ole käyttäjää vanhempi. Jos varmenne on vanhempi kuin käyttäjä ja varmenteen todentamisen rekisteriavain puuttuu tai alue on takautuvan päivämäärän kompensaation ulkopuolella, todennus epäonnistuu ja näyttöön kirjataan virhesanoma.  Jos varmenteen takautuva päivämäärä -rekisteriavain on määritetty, se kirjaa varoitussanoman tapahtumalokiin, jos päivämäärät kuuluvat takautuvan päivämääräkorvauksen piiriin.

Kun olet asentanut 10. toukokuuta 2022 julkaistun Windows-päivityksen, tarkkaile varoitusviestejä, jotka saattavat näkyä vähintään kuukauden kuluttua. Jos varoitusviestejä ei ole, on erittäin suositeltavaa ottaa täysi pakotustila käyttöön kaikissa toimialueen ohjauskoneissa, joissa käytetään varmennepohjaista todennusta. Voit ottaa täyden pakotustilan käyttöön KDC-rekisteriavaimen avulla.

Ellei toimialueen ohjauskoneita ole päivitetty valvontatilaan tai pakotustilaan StrongCertificateBindingEnforcement-rekisteriavaimella aiemmin, ne siirtyvät täyden pakotuksen tilaan, kun Windowsin helmikuun 2025 suojauspäivitys asennetaan. Todennus estetään, jos varmennetta ei voida määrittää vahvasti. Mahdollisuus siirtyä takaisin yhteensopivuustilaan säilyy, kunnes 9. syyskuuta 2025 julkaistu Windowsin suojauspäivitys on asennettu. Tämän päivämäärän jälkeen StrongCertificateBindingEnforcement-rekisteriavainta ei enää tueta

Jos varmennepohjainen todentaminen perustuu heikkoon yhdistämiseen, jota ei voi siirtää ympäristöstä, voit asettaa toimialueen ohjauskoneet Ei käytössä -tilaan rekisteriavaimen asetuksen avulla. Microsoft ei suosittele tätä, ja poistamme käytöstä poistetun tilan 11. huhtikuuta 2023.

Kun olet asentanut 13. helmikuuta 2024 tai uudemmat Windows-päivitykset Server 2019:ään ja uudempiin versioihin ja tukenut asiakkaita, joihin on asennettu valinnainen RSAT-ominaisuus, Active Directory Users & Computers -käyttäjien varmenteen määritys valitsee oletusarvoisesti vahvan yhdistämismäärityksen X509IssuerSerialNumber-asetuksen avulla heikon X509IssuerSubject-määrityksen sijaan. Asetusta voidaan silti muuttaa halutessasi.

Ongelman oireet

Microsoft on saanut raportteja, joiden mukaan ryhmäkäytäntö-objektin "Tietokoneasetukset>,hallintamallijärjestelmä>> ryhmäkäytäntö >Määritä rekisterikäytännön käsittely -asetus "Käsittele, vaikka ryhmäkäytäntö objektit eivät olisi muuttuneet"" voi ajoittain häiritä toimialueen ohjauskoneiden nimeen perustuvia yhdistämismäärityksiä.

Ongelman kiertotapa

Voit kiertää tämän ongelman poistamalla toimialueen ohjauskoneiden "Prosessi, vaikka ryhmäkäytännön objektit eivät olisi muuttuneet" -asetuksen käytöstä. Tee tämä vain, jos tarvitaan nimepohjaisia yhdistämismäärityksiä, jotka on määritetty ryhmäkäytännössä "Tietokoneasetukset>, hallintamallit>, järjestelmä,>KDC,>salli nimepohjaiset vahvat yhdistämismääritykset varmenteille". Lisätietoja on artikkelissa Vahvan nimeen perustuvan yhdistämisen ottaminen käyttöön julkishallinnon skenaarioissa.

Seuraava vaihe

Tutkimme näitä raportteja ja annamme lisätietoja, kun tiedämme asiasta enemmän.

• Määritä kyseisen tietokoneen Kerberos-käyttölokin avulla, mistä toimialueen ohjauskoneesta kirjautuminen epäonnistuu. Siirry kohtaan Tapahtumienvalvonta>Sovellus- ja palvelulokit\MicrosoftWindowsin\ suojaus - \Kerberos\ toiminnassa.
• Etsi olennaisia tapahtumia sen toimialueen ohjauskoneen järjestelmän tapahtumalokista, jota vastaan tili yrittää todennusta.
• Jos varmenne on tiliä vanhempi, myönnä varmenne uudelleen tai lisää tiliin suojattu altSecurityIdentities-yhdistämismääritys (katso Varmenteiden yhdistämismääritykset).
• Jos varmenteessa on SID-tunniste, varmista, että SID-tunnus vastaa tiliä.
• Jos varmennetta käytetään useiden eri tilien todentamiseen, kukin tili tarvitsee erillisen altSecurityIdentities-yhdistämisen .
• Jos varmenteella ei ole suojattua yhdistämismääritystä tiliin, lisää sellainen tai jätä toimialue yhteensopivuustilaan, kunnes sellainen voidaan lisätä.

Esimerkki TLS-varmenteen yhdistämisestä on IIS:n intranet-verkkosovelluksen käyttäminen.

• Kun CVE-2022-26391- ja CVE-2022-26923-suojaus on asennettu, nämä skenaariot käyttävät oletusarvoisesti Kerberos Certificate Service For User (S4U) -protokollaa varmenteiden yhdistämiseen ja todentamiseen.
• Kerberos Certificate S4U -protokollassa todennuspyyntö kulkee sovelluspalvelimesta toimialueen ohjauskoneeseen, ei asiakkaalta toimialueen ohjauskoneeseen. Siksi olennaiset tapahtumat ovat sovelluspalvelimessa.

Tätä rekisteriavainta ei tueta syyskuussa 2025 tai sen jälkeen julkaistujen Windows-päivitysten asentamisen jälkeen.

Kun palvelinsovellus edellyttää asiakastodennusta, Schannel yrittää automaattisesti yhdistää TLS-asiakkaan toimittaman varmenteen käyttäjätiliin. Voit todentaa käyttäjät, jotka kirjautuvat sisään asiakasvarmenteella, luomalla yhdistämismäärityksiä, jotka yhdistävät varmennetiedot Windows-käyttäjätiliin. Kun olet luonut ja ottanut käyttöön varmenteen yhdistämisen, palvelinsovellus liittää aina asiakasvarmenteen esittäessä automaattisesti kyseisen käyttäjän asianmukaiseen Windows-käyttäjätiliin.

Schannel yrittää yhdistää kaikki käyttöön ottamasi varmenteiden yhdistämistavat, kunnes yksi niistä onnistuu. Schannel yrittää ensin yhdistää Service-For-User-To-Self (S4U2Self) -määritykset. Varmenteiden yhdistämismääritykset Aihe/myöntäjä-, Myöntäjä- ja UPN-varmenteet ovat nyt heikkoja, ja ne on poistettu käytöstä oletusarvoisesti. Valittujen asetusten bittipeitetty summa määrittää käytettävissä olevien varmenteiden yhdistämismenetelmien luettelon.

SChannel-rekisteriavaimen oletusarvo 0x1F ja on nyt 0x18. Jos kohtaat todennusvirheitä Schannel-pohjaisissa palvelinsovelluksissa, suosittelemme testin suorittamista. Lisää tai muokkaa toimialueen ohjauskoneen CertificateMappingMethods-rekisteriavaimen arvoa ja määritä sen arvoksi 0x1F ja katso, korjaako tämä ongelman. Lisätietoja on etsimällä mahdolliset tässä artikkelissa luetellut virheet toimialueen ohjauskoneen järjestelmän tapahtumalokeista. Muista, että SChannel-rekisteriavaimen arvon muuttaminen takaisin aiempaan oletusarvoon (0x1F) palaa käyttämään heikkoja varmenteiden yhdistämismenetelmiä.

Lisätietoja ja tukea on Lisäresursseja-osassa.

Kun olet asentanut päivitykset, jotka koskevat CVE-2022-26931 ja CVE-2022-26923, todennus saattaa epäonnistua tapauksissa, joissa käyttäjien varmenteet ovat vanhempia kuin käyttäjän luomisaika. Tämä rekisteriavain mahdollistaa onnistuneen todennuksen, kun ympäristössä käytetään heikkoja varmenteen yhdistämismäärityksiä ja varmenteen aika on ennen käyttäjän luomisaikaa määritetyllä alueella. Tämä rekisteriavain ei vaikuta käyttäjiin tai koneisiin, joilla on vahvat varmenteen yhdistämismääritykset, sillä varmenteen aikaa ja käyttäjän luomisaikaa ei tarkisteta vahvoilla varmenteiden yhdistämismäärityksillä. Tällä rekisteriavaimella ei ole mitään vaikutusta, kun StrongCertificateBindingEnforcement-arvo on 2.

Tämän rekisteriavaimen käyttäminen on tilapäinen kiertotapa ympäristöissä, joissa sitä tarvitaan, ja se on tehtävä varoen. Tämän rekisteriavaimen käyttäminen tarkoittaa ympäristössäsi seuraavaa:

• Tämä rekisteriavain toimii vain yhteensopivuustilassa alkaen päivityksistä, jotka on julkaistu 10. toukokuuta 2022. Todennus sallitaan takautuvan kompensaation siirtymän puitteissa, mutta heikosta sidonnasta kirjataan tapahtumalokivaroitus.
• Tämän rekisteriavaimen käyttöönotto mahdollistaa käyttäjän todentamisen, kun varmenteen aika on ennen käyttäjän luomisaikaa määritetyllä alueella heikkona yhdistämismäärityksenä. Heikkoja yhdistämismäärityksiä ei tueta syyskuussa 2025 tai sen jälkeen julkaistujen Windows-päivitysten asentamisen jälkeen.

Suorittamalla seuraavan certutil-komennon voit sulkea käyttäjämallin varmenteet pois uuden laajennuksen saamisesta.

1. Kirjaudu varmenteen myöntäjän palvelimeen tai toimialueeseen liitettyyn Windows 10 -asiakkaaseen yrityksen järjestelmänvalvojan tunnistetiedoilla tai vastaavilla tunnistetiedoilla.
2. Avaa komentokehote ja valitse Suorita järjestelmänvalvojana.
3. Suorita certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Laajennuksen poistamisen poistaminen käytöstä poistaa myös uuden laajennuksen tarjoaman suojauksen. Tämä kannattaa tehdä vain jommankumman seuraavista toimista:

1. Vahvistat, että KDC:n Kerberos-protokollan todennuksissa käytettävää PKINIT-salausta ei hyväksytä alkutodennuksen julkisen avaimen salauksessa
2. Vastaaville varmenteille on määritetty muita vahvoja varmennemäärityksiä

Ympäristöjä, joissa on muiden kuin Microsoftin varmenteiden myöntäjien käyttöönottoja, ei suojata uudella SID-tunnisteella 10. toukokuuta 2022 julkaistun Windows-päivityksen asentamisen jälkeen. Asiakkaiden, joita ongelma koskee, tulee tehdä yhteistyötä vastaavien varmenteiden myöntäjien toimittajien kanssa tämän ongelman ratkaisemiseksi tai harkita muiden edellä kuvattujen vahvojen varmenteiden yhdistämistä.

Lisätietoja ja tukea on Lisäresursseja-osassa.

Ei, uusimista ei tarvita. Varmenteiden myöntäjä toimitetaan yhteensopivuustilassa. Jos haluat vahvan määrityksen ObjectSID-tunnisteella, tarvitset uuden varmenteen.

11. helmikuuta 2025 Windows-päivityksessä laitteet, jotka eivät ole vielä pakotetussa tilassa (StrongCertificateBindingEnforcement-rekisteriarvoksi on määritetty 2), siirretään valvontaan. Jos todennus estetään, näet tapahtumatunnuksen 39 (tai tapahtumatunnuksen 41 Windows Server 2008 R2 SP1:lle ja Windows Server 2008 SP2:lle). Voit tässä vaiheessa määrittää rekisteriavaimen arvoksi 1 (yhteensopivuustila).

9. syyskuuta 2025 Windows-päivityksessä StrongCertificateBindingEnforcement-rekisteriarvoa ei enää tueta.