KB5008382 — אימות ייחודיות עבור שם ראשי של משתמש, שם ראשי של שירות, כינוי השם הראשי של השירות (CVE-2021-42282)

שם ראשי של משתמש וייחוד שם ראשי של שירות

תכונה זו מבטיחה ש- SPNs הם ייחודיים ביער, דבר שמונע ממחשבים ובקרי תחום להוסיף שמות SPN כפולים. פונקציונליות זו כבר קיימת ב- Windows 8.1 ואילך והיא מתוארת באופן ייחודי של SPN ו- UPN.

ייחודיות כינוי SPN

תכונה קיימת של AD מגדירה כינויים עבור מחלקות שירות נפוצות רבות ל- HOST SPN המקביל עבור שירותים כגון CIFS, HTTP ו- RPC. התכונה AD מוגדרת כרשימה בהקשר מתן שמות לתצורה של יער של Active Directory. ייתכן שמשתמש שאין לו זכויות מנהל מערכת לא יקצה מחדש SPN המוקצה באופן משתמע לחשבון אחר באמצעות כינוי זה.

הערה אימות זה מיושם בנוסף לאימות עבור ייחודיות UPN ו- SPN.

אימותי ייחודיות של כינוי SPN מופעלים כברירת מחדל. באפשרותך לבטל אימותים אלה על-ידי שינוי התו ה-^{21 של} התכונה dSHeuristics , המפורשת כסידרה של תווים. התכונה dSHeuristics אינה קיימת כברירת מחדל, אך באפשרותך להוסיף אותה תחת השם הייחודי "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=support,DC=local". להלן ההגדרות האפשריות ואת ערכי הסיביות התואמים שלהן:

• ערך 0 – פירושו אכוף הכל (לא הוגדרו סיביות 000) ברירת מחדל

• Value 1 – פירושו Disable UPN Uniqueness verification (bit 0 set - 001)

• ערך 2 – פירושו הפיכת אימות ייחודיות של SPN ללא זמין (bit 1 set - 010)

• Value 3 – פירושו Disable UPN Uniqueness AND SPN Uniqueness verification. (ערכת סיביות 0 ו- 1 - 011)

• ערך 4 – פירושו הפיכת אימות ייחודיות של כינוי SPN ללא זמין (סיבית 2 מוגדרת - 100)

• Value 5 – פירושו Disable SPN Alias and UPN Uniqueness verification (bit 2 and bit 0 set - 101)

• ערך 6 - פירושו הפיכת כינוי SPN וייחודי SPN ללא זמינים (סיביות 2 וסיביות 1 מוגדרות - 110)

• ערך 7 – פירושו הפוך הכל ללא זמין (כל הסיביות מוגדרות 111)

דוגמה: אם אין לך הגדרות dSHeuristics אחרות זמינות ביער שלך וברצונך להפוך אימות ייחודיות של כינוי SPN ללא זמין בלבד, יש להגדיר את התכונה dSHeuristics ל: "000000000100000000024"

התווים הוגדרו במקרה זה הם:
תו^10: יש להגדיר ל- 1 אם התכונה dSHeuristics מכילה 10 תווים לפחות
תו^20: יש להגדיר ל- 2 אם התכונה dSHeuristics מכילה 20 תווים לפחות
תו^{21 st} : יש להגדיר כערך ברשימה לעיל; ערך 4 פירושו הפיכת ייחודיות כינוי SPN ללא זמינה.

הערה אם התכונה dSHeuristics כבר מוגדרת, הקפד למזג את ההגדרות הקיימות לתוך מחרוזת התכונה החדשה של dSHeuristics ואשר שהתווים ה- 10, ה- 20 וה- 21 מוגדרים כאמור. שאר התווים שכבר הוגדרו אמורים להישאר ללא שינוי.

לקבלת מידע נוסף אודות קביעת התצורה של תווי dSHeuristics, עיין במסמכים הבאים:

• מפרט תכונות dSHeuristics

• סיכום תכונות dSHeuristics ופרטי מערכת Version-Specific מערכת ההפעלה

מידע נוסף

מהו שם ראשי של שירות?

שם ראשי של שירות (SPN) הוא מזהה ייחודי עבור מופע שירות. אימות Kerberos משתמש ב- SPNs כדי לשייך מופע שירות לחשבון כניסה לשירות. פעולה זו מאפשרת ליישום לקוח לבקש מהשירות לאמת חשבון גם אם ללקוח אין את שם החשבון. ראה שמות ראשיים של שירות לקבלת פרטים נוספים.

מהו שם ראשי של משתמש?

שם ראשי של משתמש (UPN) הוא שם כניסה בסגנון דואר אלקטרוני עבור משתמש המבוסס על RFC 822 סטנדרטי באינטרנט. לקבלת פרטים נוספים, ראה התכונה User-Principal-Name.