כיצד לנהל את השימוש ב- Kerberos KDC ב- RC4 לשינויים בהנפקת כרטיס חשבון שירות הקשורים ל- CVE-2026-20833

במאמר זה

• Summary
• נקוט פעולה
• תזמון העדכונים
• קווים מנחים לפריסה
• הגדרות רישום
• ביקורת אירועים
• שאלות נפוצות (FAQ)
• משאבים
• יומן רישום שינויים

Summary

עדכוני Windows שהופצו ב- 13 בינואר 2026 ואילך, מכילים הגנות לפגיעות בפרוטוקול האימות Kerberos. עדכוני Windows מטפלים בפגיעות של גילוי מידע ב - CVE-2026-20833 שעלולה לאפשר לתוקף להשיג כרטיסי שירות עם סוגי הצפנה חלשים או מדור קודם כגון RC4 כדי לבצע התקפות לא מקוונות כדי לשחזר סיסמה של חשבון שירות.

כדי לצמצם פגיעות זו, עדכוני Windows שהופצו ב- 14 באפריל 2026 ואילך, משנים את ערך ברירת המחדל של מרכז תפוצת המפתחות (KDC) של Kerberos עבור DefaultDomainSupportedEncTypes, אלא אם מנהלי המערכת הפכו את מצב האכיפה לזמין מוקדם יותר. בקרי תחום מעודכנים הפועלים במצב אכיפה יקבלו תמיכה עבור תצורות מסוג הצפנה Advanced Encryption Standard (AES) רק אם לא צוינה תצורה מפורשת. לקבלת מידע נוסף, ראה דגלי סיביות נתמכים של סוגי הצפנה. ערך ברירת המחדל עבור DefaultDomainSupportedEncTypes חל בהיעדר ערך מפורש.

בבקרי תחום עם ערך רישום מוגדר DefaultDomainSupportedEncTypes , אופן הפעולה לא יושפע פונקציונלית משינויים אלה. עם זאת, מזהה אירוע ביקורת KDCSVC : 205 יירשם ביומן האירועים של המערכת אם התצורה הקיימת DefaultDomainSupportedEncTypes אינה מאובטחת (לדוגמה, כאשר נעשה שימוש בצופן RC4).

חזור לראש הדף

נקוט פעולה

כדי לסייע בהגנה על הסביבה שלך ובמניעת הפסקות חשמל, אנו ממליצים לך לבצע את הפעולות הבאות:

• עדכון בקרי תחום של Microsoft Active Directory החל מעדכוני Windows שהופצו ב- 13 בינואר 2026 או לאחר מכן.
• נטר את יומן האירועים של המערכת עבור כל אחד מתשעת אירועי הביקורת של KDCSVC 201 > 209 שנרשמו בבקרי Windows Server 2012 ותחומים חדשים יותר המזהים סיכונים בהפעלת הגנות RC4.
• צמצום אירועי KDCSVC שנרשמו ביומן אירועי המערכת המונעים הפעלה ידנית או תכנותית של הגנות RC4.
• הפוך לזמין מצב אכיפה כדי לטפל בפגיעויות שטופלו ב - CVE-2026-20833 בסביבה שלך כאשר אזהרה, חסימה או אירועי מדיניות אינם נרשמים עוד.

מצב אכיפה יהפוך לזמין באופן אוטומטי על-ידי התקנת Windows עדכונים שהופצו החל מאפריל 2026 בכל בקרי התחום של Windows והוא יחסום חיבורים פגיעים ממכשירים שאינם תואמים.  במועד זה, לא תוכל להפוך את הביקורת ללא זמינה, אך תוכל לחזור להגדרת מצב הביקורת. מצב ביקורת יוסר ביולי 2026, כמתואר במקטע תזמון של עדכונים , ומצב אכיפה יהיה זמין בכל בקרי התחום של Windows ויחסום חיבורים פגיעים ממכשירים שאינם תואמים.

אם עליך למנף את RC4 לאחר אפריל 2026, מומלץ להפעיל באופן מפורש את RC4 בתוך msds-SupportedEncryptionTypes bitmask בשירותים שיצטרכו לקבל שימוש RC4.

חזור לראש הדף

תזמון העדכונים

13 בינואר 2026 - שלב הפריסה הראשונית

שלב הפריסה הראשוני מתחיל בעדכונים שהופצו ב- 13 בינואר 2026 ואילך, וממשיך עם עדכוני Windows מאוחרים יותר עד לשלב האכיפה . שלב זה נועד להזהיר את הלקוחות מפני אכיפת אבטחה חדשה שתיכנס לתוקף בשלב הפריסה השני. עדכון זה:

• מספק אירועי ביקורת כדי להזהיר לקוחות שעלולים להיות מושפעים לרעה מהקשחת האבטחה הקרובה.
• מציג תמיכה עבור ערך הרישום RC4DefaultDisablementPhase לאחר שמנהל מערכת מאפשר את השינוי באופן יזום על-ידי הגדרת הערך ל- 2 בבקרי תחום כאשר אירועי ביקורת של KDCSVC מציינים שבטוח לעשות זאת.

14 באפריל 2026 - שלב אכיפה עם חזרה ידנית למצב קודם

עדכון זה משנה את ערך ברירת המחדל DefaultDomainSupportedEncTypes עבור פעולות KDC כדי למנף AES-SHA1 עבור חשבונות שלא מוגדרת בהם תכונה מפורשת של msds-SupportedEncryptionTypes Active Directory.

שלב זה משנה את ערך ברירת המחדל עבור DefaultDomainSupportedEncTypes ל- AES-SHA1 בלבד: 0x18.

שלב זה מאפשר גם קביעת תצורה ידנית של ערך החזרה למצב קודם של RC4DefaultDisablementPhase עד לאכיפה פרוגרמטית ביולי 2026.

יולי 2026 - שלב האכיפה

עדכוני Windows שיופצו ביולי 2026 או לאחר מכן יסירו את התמיכה במפתח המשנה של הרישום RC4DefaultDisablementPhase.

חזור לראש הדף

קווים מנחים לפריסה

כדי לפרוס את עדכוני Windows שהופצו ב- 13 בינואר 2026 או לאחר מכן, בצע את הפעולות הבאות:

1. עדכן את בקרי התחום שלך באמצעות עדכון Windows שפורסם ב- 13 בינואר 2026 או לאחר מכן.
2. ניטור אירועים שנרשמו במהלך שלב הפריסה הראשוני כדי לסייע באבטחת הסביבה שלך.
3. העבר את בקרי התחום למצב אכיפה באמצעות המקטע 'הגדרות רישום '.

שלב 1: עדכון

פרוס את עדכון Windows שפורסם ב- 13 בינואר 2026 או לאחר מכן בכל Windows Active Directory הרלוונטי שפועל כבקר תחום לאחר פריסת העדכון.

• אירועי ביקורת יופיעו ביומני אירועי מערכת אם בקרי התחום של Windows Server 2012 ואילך מקבלים בקשות לכרטיס שירות של Kerberos הדורשות שימוש בצופן RC4, אך חשבון השירות כולל תצורת הצפנה המוגדרת כברירת מחדל.
• אירוע ביקורת 205 יירשם ביומן האירועים של המערכת אם לבקר התחום שלך יש תצורה מפורשת של DefaultDomainSupportedEncTypes המאפשרת הצפנת RC4.

שלב 2: ניטור

לאחר עדכון בקרי התחום, אם אינך רואה אירועי ביקורת המתועדים במאמר זה, עבור למצב אכיפה על-ידי שינוי ערך הרישום RC4DefaultDisablementPhase ל- 2.

אם נוצרו אירועי ביקורת, יהיה עליך להסיר יחסי תלות של RC4 או להגדיר באופן מפורש את התכונה msds-SupportedEncryptionTypes של החשבונות כדי לתמוך בהמשך השימוש ב- RC4 לאחר ההפעלה הידנית או האוטומטית של מצב אכיפה .

למנהלי מערכת המעוניינים לתקן את השימוש ב- RC4 באופן נרחב יותר ממה שנדון במאמר זה, אנו ממליצים לסקור את זיהוי ותיקון השימוש ב- RC4 ב- Kerberos לקבלת מידע נוסף.

שלב 3: הפוך לזמין

הפעל מצב אכיפה כדי לטפל בפגיעויות CVE-2026-20833 בסביבה שלך.

• אם KDC מתבקש לספק כרטיס שירות RC4 עבור חשבון עם תצורות ברירת מחדל, יירשם אירוע שגיאה.
• תמשיך לראות מזהה אירוע: 205 שנרשם ביומן עבור כל תצורה לא מאובטחת של DefaultDomainSupportedEncTypes.

חזור לראש הדף

הגדרות רישום

לאחר התקנת עדכוני Windows שהופצו ב- 13 בינואר 2026 או לאחר מכן, מפתח הרישום הבא יהיה זמין עבור פרוטוקול Kerberos.

RC4DefaultDisablementPhase

מפתח רישום זה משמש לשער הפריסה של השינויים ב- Kerberos. מפתח רישום זה הוא זמני ולא ייקרא עוד לאחר תאריך האכיפה.

מפתח רישום	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
סוג נתונים	REG_DWORD
שם ערך	RC4DefaultDisablementPhase
נתוני ערך	0 – ללא ביקורת, ללא שינוי 1 - אירועי אזהרה יירשמו בעת שימוש ברירת מחדל ב- RC4. (שלב 1 ברירת מחדל) 2 – Kerberos יתחיל להניח ש- RC4 אינו מופעל כברירת מחדל. (שלב 2 ברירת מחדל)
נדרשת הפעלה מחדש?	כן

חזור לראש הדף

ביקורת אירועים

לאחר התקנת עדכוני Windows שהופצו ב- 13 בינואר 2026 או לאחר מכן, סוגי האירועים הבאים של ביקורת KSCSVC נוספים ליומן אירועי המערכת של Windows Server 2012 ואילך שפועל כבקר תחום.

בסעיף זה

• מזהה אירוע: 201
• מזהה אירוע: 202
• מזהה אירוע: 203
• מזהה אירוע: 204
• מזהה אירוע: 205
• מזהה אירוע: 206
• מזהה אירוע: 207
• מזהה אירוע: 208
• מזהה אירוע: 209
• הערה לגבי שינוי משתמע בבחירת הצפנת כרטיס שירות

חזור לראש הדף

מזהה אירוע: 201

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	201
טקסט האירוע	מרכז תפוצת המפתחות זיהה <שימוש בהצפנה של שמות> שלא תהיה נתמכת בשלב האכיפה מאחר שהשירות msds-SupportedEncryptionTypes אינו מוגדר והלקוח תומך רק בסוגי הצפנה לא מאובטחים. פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	מזהה אירוע: 201 יירשם אם: הלקוח מפרסם רק RC4 כ-Etypes מודעה לשירות היעד לא הוגדר msds-SET לבקר התחום לא מוגדרת DDSET ערך הרישום RC4DefaultDisablementPhase מוגדר ל- 1 אירוע אזהרה: 201 עובר לאירוע שגיאה 203 במצב אכיפה אירוע זה נרשם לפי בקשה אירוע אזהרה 201 אינו נרשם אם DefaultDomainSupportedEncTypes מוגדר באופן ידני

חזרה אל אירועי ביקורת

מזהה אירוע: 202

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	202
טקסט האירוע	מרכז תפוצת המפתחות זיהה <שימוש בשם צופן> שלא תהיה נתמכת בשלב האכיפה מאחר שהשירות msds-SupportedEncryptionTypes אינו מוגדר וחשבון השירות כולל רק מפתחות לא מאובטחים. פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע אזהרה 202 יירשם אם: לשירות היעד אין מפתחות AES לשירות היעד לא הוגדר msds-SET לבקר התחום לא מוגדרת DDSET ערך הרישום RC4DefaultDisablementPhase מוגדר ל- 1 אירוע שגיאה 202 עובר לשגיאה 204 במצב אכיפה אירוע אזהרה 202 נרשם ברשימה לכל בקשה אירוע אזהרה 202 אינו נרשם אם DefaultDomainSupportedEncTypes מוגדר באופן ידני

חזרה אל אירועי ביקורת

מזהה אירוע: 203

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	203
טקסט האירוע	מרכז תפוצת המפתחות חסם את השימוש בצופן מכיוון ש- service msds-SupportedEncryptionTypes אינו מוגדר והלקוח תומך רק בסוגי הצפנה לא מאובטחים. פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע שגיאה 203 יירשם אם: הלקוח מפרסם רק RC4 כ-Etypes מודעה לשירות היעד לא הוגדר msds-SET לבקר התחום לא מוגדרת DDSET ערך הרישום RC4DefaultDisablementPhase מוגדר כ- 2 לכל בקשה

חזרה אל אירועי ביקורת

מזהה אירוע: 204

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	204
טקסט האירוע	מרכז תפוצת המפתחות חסם את השימוש בצופן מכיוון שהשירות MSDS-SupportedEncryptionTypes אינו מוגדר וחשבון השירות כולל רק מפתחות לא מאובטחים. פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע שגיאה 204 יירשם אם: לשירות היעד אין מפתחות AES לשירות היעד לא הוגדר msds-SET לבקר התחום לא מוגדרת DDSET ערך הרישום RC4DefaultDisablementPhase מוגדר כ- 2 לכל בקשה

חזרה אל אירועי ביקורת

מזהה אירוע: 205

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	205
טקסט האירוע	מרכז תפוצת המפתחות זיהה הפעלת הצפנה מפורשת בתצורת המדיניות של סוגי הצפנה הנתמכים בתחום ברירת המחדל. צפנים: <הפיכת צפנים לא מאובטחים לזמינים> DefaultDomainSupportedEncTypes: <הערך DefaultDomainSupportedEncTypes מוגדר> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע אזהרה 205 יירשם אם: בקר התחום הגדיר DDSET כך שיכלול כל דבר פרט ל- AES-SHA1. ערך הרישום RC4DefaultDisablementPhase מוגדר כ- 1, 2 זה לעולם לא יהפוך לשגיאה המטרה היא ליידע את הלקוח על התנהגות לא בטוחה שלא נשנה נרשם בכל פעם בתחילת ה-KDCSVC

חזרה אל אירועי ביקורת

מזהה אירוע: 206

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	206
טקסט האירוע	מרכז תפוצת המפתחות <זיהה שימוש בשם צופן> שלא תהיה נתמכת בשלב האכיפה מאחר ששירות msds-SupportedEncryptionTypes מוגדר לתמוך ב- AES-SHA1 בלבד, אך הלקוח אינו מפרסם AES-SHA1 פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע אזהרה 206 יירשם אם: הלקוח מפרסם רק RC4 כ-Etypes מודעה אחד מהמצבים הבאים יתרחש: שירות היעד הגדיר msds-SET כ- AES-SHA1 בלבד בקר התחום מוגדר DDSET ל- AES-SHA1 בלבד ערך הרישום RC4DefaultDisablementPhase מוגדר ל- 1 אירוע אזהרה 2016 עובר לאירוע שגיאה 2018 במצב אכיפה נרשם על בסיס בקשה

חזרה אל אירועי ביקורת

מזהה אירוע: 207

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	207
טקסט האירוע	מרכז תפוצת המפתחות זיהה <שימוש בשם> צופן שלא תהיה נתמכת בשלב האכיפה מאחר ששירות msds-SupportedEncryptionTypes מוגדר לתמוך ב- AES-SHA1 בלבד, אך חשבון השירות אינו כולל מפתחות AES-SHA1. פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע אזהרה 207 יירשם אם: לשירות היעד אין מפתחות AES אחד מהמצבים הבאים יתרחש: שירות היעד הגדיר msds-SET כ- AES-SHA1 בלבד בקר התחום מוגדר DDSET ל- AES-SHA1 בלבד ערך הרישום RC4DefaultDisablementPhase מוגדר ל- 1 פעולה זו תהפוך ל- 209 (שגיאה) במצב אכיפה לכל בקשה

חזרה אל אירועי ביקורת

מזהה אירוע: 208

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	208
טקסט האירוע	מרכז תפוצת המפתחות דחה במכוון את השימוש בצופן מכיוון ששירות msds-SupportedEncryptionTypes מוגדר לתמוך ב- AES-SHA1 בלבד, אך הלקוח אינו מפרסם AES-SHA1 פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע שגיאה 208 יירשם אם: הלקוח מפרסם רק RC4 כ-Etypes מודעה אחד מהמצבים הבאים קורה: שירות היעד הגדיר msds-SET כ- AES-SHA1 בלבד בקר התחום מוגדר DDSET ל- AES-SHA1 בלבד ערך הרישום RC4DefaultDisablementPhase מוגדר כ- 2 לכל בקשה

חזרה אל אירועי ביקורת

מזהה אירוע: 209

‏‏יומן אירועים	מערכת
סוגי אירוע	אזהרה
מקור האירוע	Kdcsvc
מזהה האירוע	209
טקסט האירוע	מרכז תפוצת המפתחות דחה במכוון את השימוש בצופן מכיוון ששירות msds-SupportedEncryptionTypes מוגדר לתמוך ב- AES-SHA1 בלבד, אך חשבון השירות אינו כולל מפתחות AES-SHA1 פרטי חשבון שם חשבון: <שם חשבון> שם תחום שסופק: <שם תחום מסופק> MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים> מפתחות זמינים: <מקשים זמינים> מידע על השירות: שם שירות: <שם שירות> מזהה שירות: <Service SID> MSDS-SupportedEncryptionTypes: <סוגי הצפנה הנתמכים על-ידי שירות> מפתחות זמינים: <מפתחות זמינים של שירות> פרטי בקר תחום: MSDS-SupportedEncryptionTypes: <סוגי הצפנה נתמכים על-ידי בקר תחום> DefaultDomainSupportedEncTypes: <ערך DefaultDomainSupportedEncTypes> מפתחות זמינים: <בקר תחום מפתחות זמינים> מידע רשת: כתובת לקוח: <כתובת IP של לקוח> יציאת לקוח: <יציאת לקוח> Etypes שפורסמו: <סוגי הצפנת Kerberos בפרסום> ראה https://go.microsoft.com/fwlink/?linkid=2344614 לקבלת מידע נוסף.
הערות	אירוע שגיאה 209 יירשם אם: לשירות היעד אין מפתחות AES אחד מהמצבים הבאים יתרחש: שירות היעד הגדיר msds-SET כ- AES-SHA1 בלבד בקר התחום מוגדר DDSET ל- AES-SHA1 בלבד ערך הרישום RC4DefaultDisablementPhase מוגדר כ- 2 לכל בקשה

חזרה אל אירועי ביקורת

הערה

בנוגע לשינוי המשתמע בבחירת ההצפנה של כרטיס שירות, ל- Microsoft יש ידע מוגבל לגבי הסיבות לכך שייתכן שמכשיר שאינו מכשיר של Windows לא יוכל לקבל אימות Kerberos לאחר ש- KDCs מחילים את העדכון מאפריל ועוברים לאופן פעולה AES-SHA1 המוגדר כברירת מחדל כאשר הוא לא מוגדר. אנחנו מציעים לאמת את השינויים האלה באמצעות בדיקה בתוך הסביבה שלך לפני שתפעיל אופן פעולה זה באופן נרחב.

המקום הנפוץ ביותר שבו זה ייתקל הוא במכשירים הממנפים Kerberos Keytabs. אם המקש Kerberos Keytab יוצא רק עם מפתחות RC4, אך חשבון שירות היעד כולל מפתחות AES-SHA1 ולא מוגדר עבורו msds-SupportedEncryptionTypes, קיימת אפשרות לכשל אימות בשירות האמור. סביר להניח שזה יתבטא בצורה של כשלי אימות משירות היעד ולא מה-KDC.

ההמלצה העיקרית שלנו היא לעבוד עם הספק של המכשיר שאינו של Windows. באופן כללי, הכשלים של מכשירים שאינם Windows לקבל אימות Kerberos אינם ייחודיים לשינויים של אפריל וייתכן שהם נובעים ממגבלות ספציפיות למכשיר או להטמעה ספציפית.

אם נצפו בעיות אימות Kerberos במכשירים שאינם של Windows לאחר שינוי זה, ותיקון הספק אינו בר ביצוע, ההמלצות שלנו הן כדלקמן:

• בחשבון השירות המושפע, הגדר במפורש את msDS-SupportedEncryptionTypes כך שיכלול את RC4 עם מפתחות הפעלה של AES (0x24).
• אם פעולה זו אינה ניתנת לביצוע, כמוצא אחרון, קבע באופן ידני את התצורה של ערך הרישום DefaultDomainSupportedEncTypes בכל רכיבי ה- KDC הרלוונטיים כך שיכלול את RC4 עם מפתחות הפעלה של AES-SHA1 (0x24). שים לב שפעולה זו משאירה את כל החשבונות בתחום פגיעים ל- CVE-2026-20833.

חשוב לציין שתצורה זו אינה מאובטחת, וההמלצה ארוכת הטווח שלנו היא להעביר מכשירים שאינם Windows לגירסאות שתומכות בהצפנת כרטיס AES-SHA1 Kerberos.

חזרה אל אירועי ביקורת

שאלות נפוצות (FAQ)

ש1: כיצד שינוי זה מתקשר עם דומיינים שיש להם KDCs של צד שלישי?

שינוי הקשחה זה משפיע רק על בקרי תחום של Windows. זרימת האמון וההפניה של Kerberos עם בקרי תחום אחרים של Windows או עם בקרי KDC של ספקים חיצוניים אינה מושפעת.

ש2: כיצד שינוי זה מקיים אינטראקציה עם תחומים הכוללים מכשירים שאינם בעלי תחום של Windows?

התקני תחום של ספקים חיצוניים שאינם מסוגלים לעבד הצפנת AES-SHA1 כבר היו צריכים להיות מוגדרים במפורש כדי לאפשר הצפנת RC4. שירותים שאינם מסוגלים לעבד כרטיסי AES-SHA1 צריכים להיות קבועים או מוגדרים במפורש ב-Active Diretory כדי לספק הצפנת RC4 כפי שצוין לעיל. נא לאמת את השינויים האלה ביסודיות.

ש3: האם Microsoft תסיר את היכולת לקבוע את התצורה של DefaultDomainSupportedEncTypes?

לא. אנו נרשום אירועי אזהרה עבור תצורות לא מאובטחות עבור DefaultDomainSupportedEncTypes. בנוסף, נכבד כל תצורה שהוגדרה במפורש על-ידי מנהל מערכת.

חזור לראש הדף

משאבים

• KB5020805: כיצד לנהל שינויים בפרוטוקול Kerberos הקשורים ל- CVE-2022-37967
• KB5021131: כיצד לנהל את השינויים בפרוטוקול Kerberos הקשורים ל- CVE-2022-37966
• סוגי הצפנה נתמכים דגלי סיביות

חזור לראש הדף

יומן רישום שינויים

שנה תאריך	תיאור השינוי
14 באפריל, 2026	התאריך של אפריל 2026 עודכן כדי לשקף את תאריך ההפצה בפועל עבור "שלב האכיפה עם חזרה ידנית למצב קודם". הגדיר את Kerberos KDC במשפט הראשון של הפסקה השנייה בסעיף "סיכום". מ: כדי לצמצם פגיעות זו, ערך ברירת המחדל של DefaultDomainSupportedEncTypes משתנה על-ידי Windows עדכונים שהופץ ב- 14 באפריל 2026 ואילך או על-ידי מנהלי מערכת שמפעילים את מצב אכיפה מוקדם. אל: כדי לצמצם פגיעות זו, עדכוני Windows שהופצו ב- 14 באפריל 2026 ואילך, משנים את ערך ברירת המחדל של מרכז תפוצת המפתחות (KDC) של Kerberos עבור DefaultDomainSupportedEncTypes, אלא אם מנהלי המערכת הפכו את מצב האכיפה לזמין מוקדם יותר.
אפריל 7, 2026	ניסחתי מחדש את הפסקה השנייה בסעיף "סיכום" לשם הבהרה. שים את ההערה החשובה במקטע "שלב 2: ניטור" כדי להדגיש את חשיבותה. אנא שימו לב להערה החשובה. נוספה פסקה שנייה חדשה להערה מעל סעיף השאלות הנפוצות.
מרץ 16, 2026	נוסח מחדש לצורך הבהרה "שלב 2: ניטור" בסעיף "קווים מנחים לפריסה". נוסח מחדש לשם בהירות התשובה לשאלה "כיצד שינוי זה מקיים אינטראקציה עם תחומים שאינם מכשירי תחום של Windows?" שאלת שאלות נפוצות. נוספה הערה מיוחדת לגבי האופן שבו שירותים שאינם של Windows עשויים להיות מושפעים משינויים אלה.
פברואר 10, 2026	נוסף קישור התיעוד למופעים של DefaultDomainSupportedEncTypes. תוקן הניסוח של נקודת התבליט השנייה בסעיף "שלב 3: הפעל". מ: מציג את ערך הרישום RC4DefaultDisablementPhase כדי להפעיל את השינוי באופן יזום על-ידי הגדרת הערך ל- 2 בבקרי תחום כאשר אירועי ביקורת של KDCSVC מציינים שבטוח לעשות זאת. אל: מציג תמיכה עבור ערך הרישום RC4DefaultDisablementPhase לאחר שמנהל מערכת מאפשר את השינוי באופן יזום על-ידי הגדרת הערך ל- 2 בבקרי תחום כאשר אירועי ביקורת של KDCSVC מציינים שבטוח לעשות זאת. מתחת להערה החשובה במקטע "נקוט פעולה", השתנה המשפט הראשון של הפיסקה כך שיציין בערך מתי מצב אכיפה יהיה זמין. מ: החל מאפריל 2026, מצב אכיפה יהיה זמין בכל בקרי התחום של Windows ויחסום חיבורים פגיעים ממכשירים שאינם תואמים. אל: מצב אכיפה יהפוך לזמין באופן אוטומטי על-ידי התקנת Windows עדכונים שהופצו החל מאפריל 2026 בכל בקרי התחום של Windows והוא יחסום חיבורים פגיעים ממכשירים שאינם תואמים. נוסח נוסף כדי להזכיר ששינוי זה מתבצע על-ידי Windows עדכונים שהופצו ב- 13 בינואר 2026 וב- CVE-2026-20833 ואילך.

חזור לראש הדף