KB5014754: promjene provjere autentičnosti na temelju certifikata na kontrolerima domene sustava Windows

Nije pronađeno snažno mapiranje certifikata, a certifikat nije imao novi nastavak sigurnosnog identifikatora (SID) koji bi KDC mogao potvrditi.

Certifikat je izdan korisniku prije nego što je korisnik postojao na servisu Active Directory te nije pronađeno čvrsto mapiranje. Taj se događaj bilježi samo kada je KDC u načinu kompatibilnosti.

SID sadržan u novom proširenju korisničkog certifikata ne odgovara SID-u korisnika, što upućuje na to da je certifikat izdan drugom korisniku.

Napomena Određena polja, kao što su Izdavač, Predmet i Serijski broj, iskazuju se u obliku "prosljeđivanja". Taj oblik morate obrnuti kada niz za mapiranje dodate u atribut altSecurityIdentities . Da biste, primjerice, korisniku dodali mapiranje X509IssuerSerialNumber, pretražite polja "Izdavač" i "Serijski broj" certifikata koji želite mapirati na korisnika. Pogledajte ogledni rezultat u nastavku.

• Izdavatelj: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Serijski broj: 2B0000000011AC0000000012

Zatim ažurirajte korisnikov atribut altSecurityIdentities u servisu Active Directory sljedećim nizom:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>120000000AC11000000002B"

Da biste ažurirali taj atribut pomoću komponente Powershell, upotrijebite naredbu u nastavku. Imajte na umu da prema zadanim postavkama samo administratori domene imaju dozvolu za ažuriranje tog atributa.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>120000000AC1100000002B"}

Imajte na umu da kada obrnete vrijednost SerialNumber, morate zadržati redoslijed bajtova. To znači da bi obrtanje serijskog broja "A1B2C3" trebalo rezultirati nizom "C3B2A1", a ne "3C2B1A". Dodatne informacije potražite u sljedećim uputama: mapiranje korisnika na certifikat pomoću svih metoda dostupnih u atributu altSecurityIdentities.

Nakon što instalirate ažuriranja sustava Windows od 10. svibnja 2022., uređaji će biti u načinu kompatibilnosti. Ako je moguće snažno mapirati certifikat na korisnika, provjera autentičnosti odvijat će se prema očekivanjima. Ako je certifikat moguće samo slabo mapirati na korisnika, provjera autentičnosti odvijat će se prema očekivanjima. No, poruka upozorenja zapisat će se ako certifikat nije stariji od korisnika. Ako je certifikat stariji od korisnika, a ključa registra za staranje certifikata nema ili je raspon izvan kompenzacije za staranje datuma, provjera autentičnosti neće uspjeti i zabilježit će se poruka o pogrešci.  Ako je konfiguriran ključ registra za zadrabljivanje certifikata, zapisat će se poruka upozorenja u zapisnik događaja ako datumi spadaju u kompenzaciju za staro datiranje.

Nakon što instalirate ažuriranja sustava Windows od 10. svibnja 2022., pripazite na sve poruke upozorenja koje bi se mogle pojaviti nakon mjesec dana ili više. Ako nema poruka upozorenja, preporučujemo da omogućite način potpunog provođenja na svim domenskim kontrolerima koji koriste provjeru autentičnosti utemeljenu na certifikatu. Način potpune provedbe možete omogućiti pomoću ključa registra KDC .

Osim ako se prethodno ne ažurira na način nadzora ili način provedbe pomoću ključa registra StrongCertificateBindingEnforce , domenski kontroleri će se prebaciti u način potpune provedbe kada se instalira sigurnosno ažuriranje sustava Windows za veljaču 2025. Provjera autentičnosti bit će odbijena ako nije moguće dobro mapirati certifikat. Mogućnost povratka na način kompatibilnosti zadržat će se do instalacije sigurnosnog ažuriranja za Windows od 9. rujna 2025. Nakon tog datuma ključ registra StrongCertificateBindingEnforcement više neće biti podržan

Ako se provjera autentičnosti utemeljena na certifikatu oslanja na slabo mapiranje koje nije moguće pomicati iz okruženja, možete domenske kontrolere postaviti u način Onemogućeno pomoću postavke ključa registra. Microsoft to ne preporučuje i uklonit ćemo način Onemogućeno 11. travnja 2023.

Nakon što instalirate ažuriranja sustava Windows od 13. veljače 2024. ili novija na poslužitelj verzije 2019 i novije te podržane klijente s instaliranom neobaveznom značajkom RSAT, mapiranje certifikata u odjeljku Korisnici servisa Active Directory & računala po zadanom će odabrati snažno mapiranje pomoću X509IssuerSerialNumber umjesto slabog mapiranja pomoću x509IssuerSubject. Postavku je i dalje moguće promijeniti po želji.

Simptomi

Microsoft je primio izvješća da je postavka "Obradi čak i ako se objekti pravilnik grupe nisu promijenili" pod objektom pravilnik grupe "Konfiguracija> računalaAdministrativni predlošci>sustavapravilnik>grupe>Konfiguriranje obrade pravila registra" može povremeno ometati mapiranja na temelju naziva na domenskim kontrolerima.

Zaobilazno rješenje

Da biste zaobišli taj problem, onemogućite postavku "Obradi čak i ako se objekti pravilnik grupe nisu promijenili" na kontrolerima domene. Učinite to samo ako su potrebna mapiranja na temelju naziva kao što je definirano u pravilnik grupe "Konfiguracija računala>,administrativni predlošci>sustava>KDC>,Dopusti snažna mapiranja na temelju naziva za certifikate". Dodatne informacije potražite u članku Omogućivanje snažnog mapiranja na temelju naziva u scenarijima državne uprave.

Sljedeći korak

Istražujemo ta izvješća i pružit ćemo dodatne informacije kada budu dostupne.

• Pomoću operativnog zapisnika protokola Kerberos na odgovarajućem računalu utvrdite koji domenski kontroler ne uspijeva se prijaviti. Idite na Preglednik događajaZapisnici>aplikacija i servisa Microsoft\ \Windows\Security – Kerberos\operativan.
• Potražite relevantne događaje u zapisniku događaja u sustavu na kontroleru domene za koji račun pokušava provjeriti autentičnost.
• Ako je certifikat stariji od računa, ponovno ga izdajte ili dodajte sigurno mapiranje altSecurityIdentities na račun (pogledajte Mapiranja certifikata).
• Ako certifikat sadrži nastavak SID-a, provjerite podudara li se SID s računom.
• Ako se certifikat koristi za provjeru autentičnosti nekoliko različitih računa, za svaki račun bit će potrebno zasebno mapiranje altSecurityIdentities .
• Ako certifikat ne sadrži sigurno mapiranje računa, dodajte ga ili ostavite domenu u načinu kompatibilnosti dok ga ne bude moguće dodati.

Primjer mapiranja TLS certifikata jest korištenje intranetske web-aplikacije IIS.

• Nakon instalacije zaštite CVE-2022-26391 i CVE-2022-26923 , ti scenariji prema zadanim postavkama koriste protokol Kerberos servisa za izdavanje certifikata za korisnika (S4U) za mapiranje certifikata i provjeru autentičnosti.
• U protokolu Kerberos Certificate S4U zahtjev za provjeru autentičnosti teče od poslužitelja aplikacija do kontrolera domene, a ne od klijenta do kontrolera domene. Stoga će se relevantni događaji odvijati na aplikacijskom poslužitelju.

Ovaj ključ registra neće biti podržan nakon instalacije ažuriranja za Windows objavljenih u rujnu 2025. ili kasnije.

Kada poslužiteljska aplikacija zahtijeva provjeru autentičnosti klijenta, Schannel automatski pokušava mapirati certifikat koji TLS klijent isporučuje na korisnički račun. Autentičnost korisnika koji se prijavljuju pomoću klijentske potvrde možete provjeriti stvaranjem mapiranja koja povezuju informacije o certifikatu s korisničkim računom sustava Windows. Nakon stvaranja i omogućavanja mapiranja certifikata, svaki put kada klijent predoči klijentski certifikat, poslužiteljska aplikacija automatski povezuje tog korisnika s odgovarajućim korisničkim računom sustava Windows.

Schannel će pokušati mapirati svaku metodu mapiranja certifikata koju ste omogućili dok ne uspije. Schannel pokušava najprije mapirati mapiranja servisa za-korisnika prema sebi (S4U2Self). Mapiranja certifikata predmeta/izdavača, izdavatelja i UPN-a sada se smatraju slabima i prema zadanim su postavkama onemogućena. Bitmaskirani zbroj odabranih mogućnosti određuje popis dostupnih načina mapiranja certifikata.

Zadani ključ registra SChannel bio je 0x1F i sada je 0x18. Ako dođe do neuspjele provjere autentičnosti s poslužiteljskim aplikacijama koje se temelje na kanalu Schannel, predlažemo da izvršite test. Dodajte ili izmijenite vrijednost ključa registra CertificateMappingMethods na domenskom kontroleru i postavite je na 0x1F da biste provjerili je li to riješilo problem. Da biste saznali više, u zapisnicima događaja u sustavu na kontroleru domene potražite pogreške navedene u ovom članku. Imajte na umu da će se vraćanjem vrijednosti ključa registra SChannel na prethodnu zadanu vrijednost (0x1F) vratiti na korištenje slabih načina mapiranja certifikata.

Dodatne resurse i podršku potražite u odjeljku "Dodatni resursi".

Nakon što instalirate ažuriranja koja adresiraju CVE-2022-26931 i CVE-2022-26923, provjera autentičnosti možda neće uspjeti u slučajevima kada su korisnički certifikati stariji od vremena stvaranja korisnika. Taj ključ registra omogućuje uspješnu provjeru autentičnosti kada u svom okruženju koristite slaba mapiranja certifikata , a vrijeme certifikata je prije vremena stvaranja korisnika unutar postavljenog raspona. Taj ključ registra ne utječe na korisnike ni računala sa snažnim mapiranjima certifikata jer se vrijeme certifikata i vrijeme stvaranja korisnika ne provjeravaju prilikom jakih mapiranja certifikata. Taj ključ registra nema nikakvog učinka kada je StrongCertificateBindingEnforcement postavljen na 2.

Upotreba tog ključa registra privremeno je zaobilazno rješenje za okruženja koja ga zahtijevaju i mora se primjenjivati s oprezom. Korištenje tog ključa registra znači sljedeće za vaše okruženje:

• Ovaj ključ registra funkcionira samo u načinu kompatibilnosti počevši s ažuriranjima objavljenim 10. svibnja 2022. Provjera autentičnosti bit će dopuštena unutar kompenzacijskog pomaka za staranje, no za slabo povezivanje bit će zabilježeno upozorenje zapisnika događaja.
• Omogućivanjem ključa registra omogućuje se provjera autentičnosti korisnika kada je vrijeme certifikata prije vremena stvaranja korisnika unutar zadanog raspona kao slabo mapiranje. Slaba mapiranja više neće biti podržana nakon instalacije ažuriranja za Windows objavljenih u rujnu 2025. ili kasnije.

Pokrenite sljedeću naredbu certutil da biste isključili certifikate korisničkog predloška iz dohvaćanja novog proširenja.

1. Prijavite se na poslužitelj ustanove za izdavanje certifikata ili klijent sustava Windows 10 pridružen domeni s administratorom u tvrtki ili ustanovom ili odgovarajućim vjerodajnicama.
2. Otvorite naredbeni redak i odaberite Pokreni kao administrator.
3. Pokrenite certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Onemogućivanjem dodavanja ovog proširenja uklonit će se zaštita koju pruža novo proširenje. Razmislite o tome tek nakon što učinite nešto od sljedećeg:

1. Potvrđujete da odgovarajući certifikati nisu prihvatljivi za šifriranje s javnim ključem za početnu provjeru autentičnosti (PKINIT) u provjerama autentičnosti protokola Kerberos na servisu KDC
2. Za odgovarajuće certifikate konfigurirana su druga mapiranja jakih certifikata

Okruženja s implementacijama koje nisu Microsoftove ustanove za izdavanje certifikata neće biti zaštićena novim proširenjem SID-a nakon instalacije ažuriranja sustava Windows od 10. svibnja 2022. Zahvaćeni korisnici trebali bi surađivati s odgovarajućim dobavljačima ustanova za izdavanje certifikata da bi riješili taj problem ili bi trebali razmisliti o korištenju drugih prethodno opisanih jakih mapiranja certifikata.

Dodatne resurse i podršku potražite u odjeljku "Dodatni resursi".

Ne, obnova nije obavezna. CA će se isporučiti u načinu kompatibilnosti. Ako želite snažno mapiranje pomoću proširenja ObjectSID, potreban vam je novi certifikat.

U ažuriranju sustava Windows od 11. veljače 2025. uređaji koji još nisu u provedbi (vrijednost registra StrongCertificateBindingEnforcement postavljena je na 2) bit će premješteni na provedbu. Ako je provjera autentičnosti odbijena, prikazat će se ID događaja 39 (ili ID događaja 41 za Windows Server 2008 R2 SP1 i Windows Server 2008 SP2). U ovoj fazi moći ćete vratiti vrijednost ključa registra na 1 (način kompatibilnosti).

U ažuriranju sustava Windows od 9. rujna 2025. vrijednost registra StrongCertificateBindingEnforcement više neće biti podržana.