Summary
עדכוני Windows ב- 13 ביולי 2021 ועדכוני Windows מאוחרים יותר מוסיפים הגנות עבור CVE-2021-33757.
לאחר התקנת עדכוני Windows של 13 ביולי 2021 או עדכוני Windows מאוחרים יותר, הצפנה Advanced Encryption Standard (AES) תהיה השיטה המועדפת בלקוחות Windows בעת שימוש בפרוטוקול MS-SAMR מדור קודם לפעולות סיסמה, אם הצפנת AES נתמכת על-ידי שרת SAM. אם הצפנת AES אינה נתמכת על-ידי שרת ה- SAM, תותר נסיגה להצפנת RC4 מדור קודם.
השינויים ב-CVE-20201-33757 הם ספציפיים לפרוטוקול MS-SAMR ואינם תלויים בפרוטוקולי אימות אחרים. MS-SAMR משתמש ב-SMB על RPC וצינורות בעלי שם. למרות ש-SMB תומך אף הוא בהצפנה, הוא אינו זמין כברירת מחדל. כברירת מחדל, השינויים ב - CVE-20201-33757 זמינים ומספקים אבטחה נוספת בשכבת SAM. לא נדרשים שינויי תצורה נוספים מעבר להתקנת הגנות עבור CVE-20201-33757 הכלולות בעדכוני Windows ב- 13 ביולי 2021 או עדכוני Windows מאוחרים יותר בכל הגירסאות הנתמכות של Windows. יש להפסיק או לשדרג גירסאות של Windows שאינן נתמכות לגירסה נתמכת.
הערה:CVE-2021-33757 משנה רק את האופן שבו סיסמאות מוצפנות במעבר בעת שימוש בממשקי API ספציפיים של פרוטוקול MS-SAMR , ובאופן ספציפי אל תשנה את האופן שבו סיסמאות מאוחסנות במנוחה. לקבלת מידע נוסף אודות האופן שבו סיסמאות מוצפנות במנוחה ב- Active Directory ובאופן מקומי במסד הנתונים של SAM (רישום), ראה סקירת סיסמאות.
מידע נוסף
שינויים שבוצעו על-ידי עדכוני 13 ביולי 2021
תבנית שינוי סיסמה
העדכונים משנים את דפוס שינוי הסיסמה של הפרוטוקול על-ידי הוספת שיטת שינוי סיסמה חדשה שתשתמש ב- AES.שיטה ישנה עם RC4 שיטה חדשה עם AES SamrUnicodeChangePasswordUser2 (OpNum 55) SamrUnicodeChangePasswordUser4 (OpNum 73) לרשימה המלאה של OpNums של MS-SAMR, ראה אירועי עיבוד הודעות וכללי רצף.
תבנית ערכת סיסמאות
העדכונים משנים את תבנית ערכת הסיסמאות של הפרוטוקול על-ידי הוספת שתי מחלקות מידע משתמש חדשות לפעולת השירות SamrSetInformationUser2 (Opnum 58). באפשרותך להגדיר את פרטי הסיסמה באופן הבא.שיטה ישנה עם RC4 שיטה חדשה עם AES SamrSetInformationUser2 (Opnum 58) יחד עם UserInternal4InformationNew המחזיקה בסיסמת משתמש מוצפנת עם RC4. SamrSetInformationUser2 (Opnum 58) יחד עם UserInternal8Information המחזיק סיסמת משתמש מוצפנת עם AES. SamrSetInformationUser2 (Opnum 58) יחד עם UserInternal5InformationNew המחזיק סיסמת משתמש מוצפנת עם RC4 וכל שאר תכונות המשתמש. SamrSetInformationUser2 (Opnum 58) יחד עם UserInternal7Information המחזיק סיסמה מוצפנת עם AES וכל שאר תכונות המשתמש.
כיצד פועלת ההתנהגות החדשה?
פעולת השירות SamrConnect5 הקיימת משמשת בדרך כלל ליצירת חיבור בין לקוח SAM לשרת.
שרת מעודכן יחזיר כעת סיבית חדשה בתגובה SamrConnect5() כפי שהוגדר ב SAMPR_REVISION_INFO_V1.
| Value | משמעות |
|---|---|
| 0x00000010 | בעת קבלתו על-ידי הלקוח, ערך זה, כאשר הוא מוגדר, מציין כי על הלקוח להשתמש בהצפנת AES עם מבנה SAMPR_ENCRYPTED_PASSWORD_AES כדי להצפין מאגרי סיסמאות בעת שליחתם דרך החוט. ראה שימוש בצופן AES (סעיף 3.2.2.4) ו-SAMPR_ENCRYPTED_PASSWORD_AES (סעיף 2.2.6.32). |
אם השרת המעודכן תומך ב- AES, הלקוח ישתמש בשיטות חדשות ובמחלקות מידע חדשות לפעולות סיסמה. אם השרת לא יחזיר דגל זה או אם הלקוח לא יתעדכן, הלקוח יחזור להשתמש בשיטות קודמות עם הצפנת RC4.
כיצד מושפע בקר התחום לקריאה בלבד?
פעולות של הגדרת סיסמאות דורשות בקר תחום ניתן לכתיבה (RWDC). שינויי סיסמה מועברים על-ידי בקר התחום לקריאה בלבד (RODC) ל- RWDC. יש לעדכן את כל המכשירים כדי שיהיה שימוש ב- AES. לדוגמה:
- אם הלקוח, RODC או RWDC אינם מתעדכנים, ייעשה שימוש בהצפנת RC4.
- אם הלקוח, RODC ו- RWDC מתעדכנים, ייעשה שימוש בהצפנת AES.
רישום אירועים
העדכונים של 13 ביולי 2021 מוסיפים ארבעה אירועים חדשים ליומן המערכת כדי לעזור לזהות מכשירים שאינם מעודכנים ולסייע בשיפור האבטחה.
מצב תצורה מזהה אירוע 16982 או 16983 נרשם בעת ההפעלה או בעת שינוי תצורת הרישום.
מזהה אירוע: 16982
יומן אירועים מערכת מקור האירוע Directory-Services-SAM מזהה האירוע 16982 רמה מידע טקסט הודעת אירוע מנהל חשבון האבטחה רושם כעת אירועים מילוליים עבור לקוחות מרוחקים שקוראים לשינוי סיסמה מדור קודם או מגדירים שיטות RPC. הגדרה זו עלולה לגרום למספר רב של הודעות ויש להשתמש בה לפרק זמן קצר בלבד כדי לאבחן בעיות. מזהה אירוע: 16983
יומן אירועים מערכת מקור האירוע Directory-Services-SAM מזהה האירוע 16983 רמה מידע טקסט הודעת אירוע מנהל חשבון האבטחה רושם כעת אירועי סיכום תקופתיים עבור לקוחות מרוחקים שקוראים לשינוי סיסמה מדור קודם או מגדירים שיטות RPC. לאחר החלת העדכון של 13 ביולי 2021, אירוע סיכום מס' 16984 נרשם ביומן אירועי המערכת כל 60 דקות.
מזהה אירוע: 16984
יומן אירועים מערכת מקור האירוע Directory-Services-SAM מזהה האירוע 16984 רמה מידע טקסט הודעת אירוע מנהל חשבון האבטחה זיהה %x שינוי סיסמה מדור קודם או הגדיר קריאות לשיטת RPC ב- 60 הדקות האחרונות. לאחר קביעת התצורה של רישום אירועים מילולי, מזהה האירוע 16985 נרשם ביומן האירועים של המערכת בכל פעם שנעשה שימוש בפעולת שירות RPC מדור קודם לשינוי או הגדרה של סיסמת חשבון.
מזהה אירוע: 16985
יומן אירועים מערכת מקור האירוע Directory-Services-SAM מזהה האירוע 16985 רמה מידע טקסט הודעת אירוע מנהל חשבון האבטחה זיהה שימוש בשינוי מדור קודם או הגדר פעולת שירות RPC מלקוח רשת. שקול לשדרג את מערכת ההפעלה או היישום של הלקוח לשימוש בגירסה העדכנית והמאובטחת יותר של שיטה זו.
פרטים:
שיטת RPC: %1
כתובת רשת לקוח: %2
SID של לקוח: %3
שם משתמש: %4כדי לרשום מזהה אירוע מילולי מס' 16985, החלף את ערך הרישום הבא בשרת או בבקר התחום.
נתיב HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM Type REG_DWORD שם ערך AuditLegacyPasswordRpcMethods נתוני ערך 1 = רישום מילולי זמין
0 או לא קיים = רישום מילולי אינו זמין. אירועי סיכום בלבד. (ברירת מחדל)
קביעת תצורה של איטרציות PBKDF2 לשינוי סיסמה
כמתואר ב- SamrUnicodeChangePasswordUser4 (Opnum 73), בעת שימוש בפעולת השירות החדשה SamrUnicodeChangePasswordUser4 , הלקוח והשרת ישתמשו באלגוריתם PBKDF2 כדי לגזור מפתח הצפנה ופענוח מהסיסמה הישנה בטקסט רגיל. הסיבה לכך היא שהסיסמה הישנה היא הסוד הנפוץ היחיד הידוע הן לשרת והן ללקוח.
לקבלת מידע נוסף אודות PBKDF2, ראה הפונקציה BCryptDeriveKeyPBKDF2 (bcrypt.h).
אם עליך לבצע שינוי מטעמי אבטחה וביצועים, באפשרותך להתאים את מספר האיטרציות של PBKDF2 הנמצאות בשימוש על-ידי הלקוח לשינוי סיסמה על-ידי הגדרת ערך הרישום הבא בלקוח.
הערה
הקטנת מספר האיטרציות של PBKDF2 תפחית את האבטחה. לא מומלץ להקטין את המספר מברירת המחדל. עם זאת, מומלץ להשתמש במספר האיטרציות הרב ביותר האפשרי של PBKDF2.
| נתיב | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM |
|---|---|
| Type | REG_DWORD |
| שם ערך | PBKDF2Iterations |
| נתוני ערך | מינימום 5,000 עד 1,000,000 לכל היותר |
| ערך ברירת מחדל | 10,000 |
הערה
PBKDF2 אינו משמש לפעולות של הגדרת סיסמאות. עבור פעולות של הגדרת סיסמאות, מפתח ההפעלה של SMB הוא הסוד המשותף בין הלקוח והשרת והוא משמש כבסיס לגזירת מפתחות הצפנה.
לקבלת מידע נוסף, ראה רכישת מפתח הפעלה של SMB.
שאלות נפוצות
אילו תרחישים מפעילים הורדות מ-AES ל-RC4?
שדרוג לאחור מתרחש כאשר השרת או הלקוח אינם תומכים ב-AES.
כיצד אוכל לדעת אם הצפנת RC4 או הצפנת AES סוכם?
שרתים מעודכנים ירשמו אירועים בעת שימוש בשיטות מדור קודם עם RC4.
האם ניתן לדרוש הצפנת AES בשרת, והאם עדכונים עתידיים של Windows ייאכפו באופן תוכניתי באמצעות AES?
בשלב זה אין מצב אכיפה זמין, אך ייתכן שיהיה כזה בעתיד. אין לנו תאריך.
האם לקוחות צד שלישי תומכים בהגנות עבור CVE-2021-33757 כדי לנהל משא ומתן על AES כאשר השרת תומך בכך? האם עליי לפנות לתמיכה של Microsoft או לצוות התמיכה של ספק חיצוני כדי לטפל בשאלה זו?
אם מכשיר של צד שלישי אינו משתמש בפרוטוקול SAMR, זה לא חשוב. ספקי צד שלישי המיישמים את פרוטוקול MS-SAMR עשויים לבחור ליישם זאת. פנה לספק החיצוני לכל שאלה.
האם יש צורך לבצע שינויי תצורה נוספים?
לא נדרשים שינויים נוספים.
מה משתמש בפרוטוקול זה?
פרוטוקול זה הוא מדור קודם, ואנו צופים שהשימוש בו נמוך מאוד. יישומים מדור קודם עשויים להשתמש בממשקי API אלה. כמו כן, כלים מסוימים של Active Directory, כגון משתמשי AD ומחשבים MMC משתמשים ב- SAMR.
האם שינויים בסיסמאות המשתמשים בפרוטוקול Kerberos או בפרוטוקולים אחרים מושפעים?
לא. רק שינויי סיסמה המשתמשים בממשקי API ספציפיים אלה של SAMR מושפעים.
האם יכולה להיות השפעה על ביצועי בקר התחום?
כן. PBKDF2 יקר יותר מ- RC4. אם מתרחשים שינויי סיסמאות רבים בו-זמנית בבקר התחום שקורא ל- API של SamrUnicodeChangePasswordUser4 , ייתכן שעומס ה- CPU של LSASS יושפע. באפשרותך לכוונן את האיטרציות של PBKDF2 בלקוחות במידת הצורך, אולם לא מומלץ להפחית מברירת המחדל מכיוון שהדבר יפחית את האבטחה.
חומרי עזר
הצפנה מאומתת עם AES-CBC ו-HMAC-SHA
כתב ויתור על מידע של ספקים חיצוניים
אנו מספקים את פרטי הקשר של ספקים חיצוניים כדי לסייע לך לאתר תמיכה טכנית. פרטי קשר אלה עשויים להשתנות ללא הודעה. איננו מתחייבים שפרטי הקשר של ספק חיצוני זה יהיו מדויקים.