Zapisnik promjena
Promjena 1: 19. lipnja 2023.:
|
|---|
Sadržaj članka
- Sažetak
- Otkrivanje eksplicitno postavljenih vrsta šifriranja ključeva sesije
- Postavke ključa registra
- Događaji sustava Windows povezani s CVE-2022-37966
- Najčešća pitanja i poznati problemi
- Pojmovnik
Sažetak
Ažuriranja sustava Windows objavljena 8. studenog 2022. ili kasnije rješavaju sigurnosno zaobilaženje i ranjivost povećavanja privilegije pregovaranjem o provjeri autentičnosti korištenjem slabog RC4-HMAC pregovaranja.
Ovo će ažuriranje postaviti AES kao zadanu vrstu šifriranja za ključeve sesije na računima koji već nisu označeni zadanom vrstom šifriranja.
Da biste zaštitili svoje okruženje, instalirajte ažuriranja sustava Windows objavljena 8. studenog 2022. ili kasnije na sve uređaje, uključujući kontrolere domene. Pogledajte Promjena 1.
Dodatne informacije o tim ranjivostima potražite u članku CVE-2022-37966.
Otkrivanje eksplicitno postavljenih vrsta šifriranja ključeva sesije
Možda ste izričito definirali vrste šifriranja na svojim korisničkim računima koji su ranjivi na CVE-2022-37966. Pomoću sljedećeg upita servisa Active Directory potražite račune na kojima je DES / RC4 izričito omogućen, ali ne i AES:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Postavke ključa registra
Nakon instalacije ažuriranja sustava Windows od 8. studenog 2022. ili kasnije, sljedeći ključ registra dostupan je za protokol Kerberos:
DefaultDomainSupportedEncTypes
| Registarski ključ | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Vrijednost | DefaultDomainSupportedEncTypes |
| Vrsta podataka | REG_DWORD |
| Vrijednost podataka | 0x27 (zadano) |
| Je li potrebno ponovno pokretanje? | Ne |
Napomena Ako morate promijeniti zadanu podržanu vrstu šifriranja za korisnika servisa Active Directory ili računalo, ručno dodajte i konfigurirajte ključ registra da biste postavili novu podržanu vrstu šifriranja. Ovo ažuriranje ne dodaje automatski ključ registra.
Kontroleri domena u sustavu Windows koriste tu vrijednost za određivanje podržanih vrsta šifriranja na računima u imeničkom servisu Active Directory čija je vrijednost parametra msds-SupportedEncryptionType prazna ili nije postavljena. Računalo na kojem je instalirana podržana verzija operacijskog sustava Windows automatski postavlja msds-SupportedEncryptionTypes za taj račun računala u servisu Active Directory. To se temelji na konfiguriranoj vrijednosti vrsta šifriranja koje protokol Kerberos smije koristiti. Dodatne informacije potražite u odjeljku Sigurnost mreže: konfiguriranje vrsta šifriranja dopuštenih za Kerberos.
Korisnički računi, računi upravljanog servisa grupe i ostali računi u servisu Active Directory nemaju automatski postavljenu vrijednost msds-SupportedEncryptionTypes .
Da biste pronašli podržane vrste šifriranja koje možete ručno postaviti, pogledajte Podržane vrste šifriranja Bitne zastavice. Za više informacija pogledajte što biste trebali učiniti prije nego što pripremite okruženje i spriječite probleme s provjerom autentičnosti putem Kerberosa.
Zadana vrijednost 0x27 (DES, RC4, AES tipke sesije) odabrana je kao minimalna promjena potrebna za ovo sigurnosno ažuriranje. Preporučujemo korisnicima da vrijednost postave na 0x3C radi povećane sigurnosti jer će ta vrijednost dopustiti i AES šifrirane potvrde za provjeru autentičnosti i ključeve AES sesije. Ako su korisnici slijedili naše upute za prelazak na okruženje samo AES u kojem se RC4 ne koristi za protokol Kerberos, preporučujemo korisnicima da vrijednost postave na 0x38. Pogledajte Promjena 1.
Događaji sustava Windows povezani s CVE-2022-37966
Centru za distribuciju ključeva Kerberos nedostaju jaki ključevi za račun
| Zapisnik događaja | Sustav |
|---|---|
| Vrsta događaja | Pogreška |
| Izvor događaja | Kdcsvc |
| ID događaja | 42 |
| Tekst događaja | Centru za distribuciju ključeva Kerberos nedostaju jaki ključevi za račun: nazivračuna. Morate ažurirati lozinku ovog računa da biste spriječili korištenje nesigurne kriptografije. Pogledajte https://go.microsoft.com/fwlink/?linkid=2210019 da biste saznali više. |
Ako pronađete tu pogrešku, vjerojatno morate ponovno postaviti lozinku za krbtgt prije postavljanja KrbtgtFullPacSingature = 3 ili instaliranja ažuriranja sustava Windows objavljenih 11. srpnja 2023. ili kasnije. Ažuriranje koje programatski omogućuje način provedbe za CVE-2022-37967 dokumentirano je u sljedećem članku u Microsoftovoj bazi znanja:
KB5020805: Kako upravljati promjenama protokola Kerberos koje se odnose na CVE-2022-37967
Više informacija o tome kako to učiniti potražite u New-KrbtgtKeys.ps1 temi na web-mjestu GitHub.
Najčešća pitanja i poznati problemi
Pod kojim je okolnostima moja okolina ranjiva?
Računi označeni za eksplicitnu upotrebu RC4 su ranjivi. Osim toga, mogu biti ranjiva okruženja koja nemaju ključeve AES sesije unutar krbgt računa. Da biste ublažili taj problem, slijedite upute o tome kako prepoznati slabe točke i upotrijebite odjeljak Postavka ključa registra za ažuriranje eksplicitno postavljenih zadanih postavki šifriranja.
Što najprije trebam učiniti kako bih pripremio svoje okruženje i spriječio probleme s provjerom autentičnosti Kerberos nakon instaliranja ažuriranja objavljenih 8. studenog 2022. ili kasnije na kontrolerima domene?
Morat ćete provjeriti imaju li svi uređaji uobičajenu vrstu šifriranja Kerberos. Dodatne informacije o vrstama šifriranja putem protokola Kerberos potražite u odjeljku Dešifriranje i popis podržanih vrsta šifriranja Kerberos.
Okruženja bez uobičajene vrste šifriranja Kerberos možda su prethodno funkcionirala zbog automatskog dodavanja RC4 ili dodavanja AES-a, ako su domenski kontroleri onemogućili RC4 putem pravilnika grupe. To se ponašanje promijenilo s ažuriranjima objavljenim 8. studenog 2022. ili kasnije i sada će se strogo pridržavati onoga što je postavljeno u ključevima registra, msds-SupportedEncryptionTypes i DefaultDomainSupportedEncTypes.
Ako na računu nije postavljen msds-SupportedEncryptionTypes ili je postavljen na 0, domenski kontroleri pretpostavljaju zadanu vrijednost 0x27 (39) ili će domenski kontroler upotrijebiti postavku u ključu registra DefaultDomainSupportedEncTypes.
Ako račun ima postavljene msds-SupportedEncryptionTypes , ta se postavka poštuje i može izložiti neuspjeh konfiguriranja uobičajene vrste šifriranja Kerberos maskiranog prethodnim ponašanjem automatskog dodavanja RC4 ili AES-a, što više nije ponašanje nakon instalacije ažuriranja objavljenih 8. studenog 2022. ili kasnije.
Informacije o tome kako provjeriti imate li uobičajenu vrstu šifriranja Kerberos potražite u odjeljku pitanje Kako mogu provjeriti imaju li svi moji uređaji zajedničku vrstu šifriranja Kerberos?
Kako mogu provjeriti imaju li svi moji uređaji zajedničku vrstu šifriranja Kerberos?
Pogledajte prethodno pitanje za više informacija zašto vaši uređaji možda nemaju uobičajenu vrstu šifriranja Kerberos nakon instaliranja ažuriranja objavljenih 8. studenog 2022. ili kasnije.
Ako ste već instalirali ažuriranja objavljena 8. studenog 2022. ili kasnije, uređaje koji nemaju uobičajenu vrstu šifriranja Kerberos možete otkriti u zapisniku događaja za događaj 27 Microsoft-Windows-Kerberos-Key-Distribution-Center, u kojem se identificiraju različite vrste šifriranja između klijenata sustava Kerberos i udaljenih poslužitelja ili servisa.
Imam problema s provjerom autentičnosti Kerberos u svom okruženju nakon instalacije ažuriranja objavljenih 8. studenog 2022. ili kasnije. Moram li riješiti te probleme na klijentskim uređajima sa sustavom Windows ili poslužiteljima Windows koji ne izvršavaju ulogu kontrolora domene?
Instalacija ažuriranja objavljenih 8. studenog 2022. ili kasnije na klijentima ili poslužiteljima uloga koji nisu kontroler domene ne bi trebala utjecati na provjeru autentičnosti Kerberos u vašem okruženju.
Nakon instalacije ažuriranja objavljenih 8. studenog 2022. ili kasnije na domenskim kontrolerima, nailazim na curenje memorije u podsustavu Local Security Authority Subsystem Service (LSASS.exe). Što mogu učiniti?
Da biste ublažili taj poznati problem, otvorite prozor naredbenog retka kao administrator i privremeno upotrijebite sljedeću naredbu za postavljanje ključa registra KrbtgtFullPacSignature na 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Napomena
Napomena Kada je taj poznati problem riješen, trebali biste postaviti KrbtgtFullPacSignature na višu postavku, ovisno o tome što vaše okruženje dopušta. Preporučujemo da način provedbe omogućite čim vaše okruženje bude spremno.
Sljedeći koraci Radimo na razlučivosti i omogućit ćemo ažuriranje u jednom od sljedećih izdanja.
Zašto se u mom okruženju pojavljuju neuspjele provjere autentičnosti putem protokola Kerberos na uređajima koji nemaju sustav Windows?
Nakon instaliranja ažuriranja objavljenih 8. studenog 2022. ili kasnije na kontrolerima vaše domene, svi uređaji moraju podržavati AES potpisivanje potvrda o prijavi prema potrebi kako bi bili usklađeni sa sigurnosnim pojačanjem potrebnim za CVE-2022-37967.
Sljedeći koraci Ako već koristite najnoviji softver i opremu za uređaje koji nemaju sustav Windows i potvrdili ste da postoji uobičajena vrsta šifriranja dostupne na vašim kontrolerima domene sustava Windows i uređajima koji nemaju Windows, morat ćete se obratiti proizvođaču uređaja (OEM) za pomoć ili zamijeniti uređaje s onima koji su kompatibilni.
Napomena
VAŽNO Ne preporučujemo korištenje zaobilaznih rješenja za dopuštanje provjere autentičnosti uređajima koji nisu u skladu s njima jer bi to moglo učiniti vaše okruženje ranjivim.
Moji uređaji na kojima je instalirana nepodržana verzija sustava Windows više ne mogu pristupati resursima u mom okruženju. Osim toga, tim uređajima u mom okruženju nije moguće pristupiti putem ažuriranih uređaja sa sustavom Windows. Što mogu učiniti?
Nepodržanim verzijama sustava Windows ubrajaju se Windows XP, Windows Server 2003, Windows Server 2008 SP2 i Windows Server 2008 R2 SP1 ažurirani uređaji sa sustavom Windows ne mogu pristupiti osim ako nemate licencu za ESU. Ako imate ESU licencu, morat ćete instalirati ažuriranja objavljena 8. studenog 2022. ili kasnije i provjeriti ima li vaša konfiguracija zajedničku vrstu šifriranja dostupnu na svim uređajima.
Sljedeći koraci Instalirajte ažuriranja ako su dostupna za vašu verziju sustava Windows i ako imate odgovarajuću licencu ESU. Ako ažuriranja nisu dostupna, morat ćete nadograditi na podržanu verziju sustava Windows ili premjestiti bilo koju aplikaciju ili uslugu na uređaj koji je usklađen s propisima.
Napomena
VAŽNO Ne preporučujemo korištenje zaobilaznih rješenja za dopuštanje provjere autentičnosti uređajima koji nisu u skladu s njima jer bi to moglo učiniti vaše okruženje ranjivim.
Svi moji uređaji imaju zajedničku vrstu šifriranja i konfigurirani su samo za korištenje AES-a. Zašto mi se pogreške provjere autentičnosti Kerberos i dalje prikazuju nakon instalacije ažuriranja od 8. studenog 2022.?
Taj je poznati problem riješen u ažuriranjima izvan raspona objavljenim 17. studenog 2022. i 18. studenog 2022. za instalaciju na svim domenskim kontrolerima u vašem okruženju. Da biste riješili taj problem, ne morate instalirati nijedno ažuriranje ni mijenjati druge poslužitelje ili klijentske uređaje u svojem okruženju. Ako ste za taj problem koristili zaobilazno rješenje ili ublažavanja, ta rješenja više nisu potrebna i preporučujemo da ih uklonite.
Da biste nabavili samostalni paket za ta izvankanalnog ažuriranja, potražite broj KB u katalogu Microsoft Update. Ta ažuriranja možete ručno uvesti u Windows Server Update Services (WSUS) i Microsoft Endpoint Configuration Manager. Upute za WSUS potražite u WSUS-u i web-mjestu kataloga. Upute za upravitelj konfiguracije potražite u članku Uvoz ažuriranja iz kataloga servisa Microsoft Update.
Napomena
Napomena Sljedeća ažuriranja nisu dostupna na servisu Windows Update i neće se automatski instalirati.
Kumulativna ažuriranja:
Napomena
Napomena Ne morate primjenjivati nijedno prethodno ažuriranje prije instaliranja ovih kumulativnih ažuriranja. Ako ste već instalirali ažuriranja objavljena 8. studenog 2022., ne morate deinstalirati zahvaćena ažuriranja prije instaliranja bilo kojih novijih ažuriranja, uključujući prethodno navedena.
Samostalna ažuriranja:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (objavljen 18. studenog 2022.)
- Windows Server 2008 SP2: KB5021657
Napomena
Napomene
- Ako za te verzije sustava Windows Server koristite samo sigurnosna ažuriranja, trebate instalirati samo ta samostalna ažuriranja za studeni 2022. Samo sigurnosna ažuriranja nisu kumulativna i morat ćete instalirati sva prethodna ažuriranja koja se odnose samo na sigurnost da biste bili u potpunosti ažurni. Mjesečna objedinjena ažuriranja kumulativna su i obuhvaćaju sigurnosna i sva kvalitativna ažuriranja.
- Ako koristite mjesečna objedinjena ažuriranja, morat ćete instalirati i prethodno navedena samostalna ažuriranja da biste riješili taj problem te instalirati mjesečna objedinjena ažuriranja objavljena 8. studenog 2022. kako biste dobili kvalitativna ažuriranja za studeni 2022. Ako ste već instalirali ažuriranja objavljena 8. studenog 2022., ne morate deinstalirati zahvaćena ažuriranja prije instaliranja bilo kojih novijih ažuriranja, uključujući prethodno navedena.
Koristim aplikaciju na uređajima sa sustavom Windows koja koristi implementaciju Kerberos koja nije Microsoftova i nailazim na probleme s provjerom autentičnosti Kerberos. Što mogu učiniti?
Ako ste provjerili konfiguraciju svojeg okruženja i još uvijek nailazite na probleme s implementacijom Kerberosa koja nije Microsoftova, trebat će vam ažuriranja ili podrška razvojnog inženjera ili proizvođača aplikacije ili uređaja.
U servisu Active Directory imam postavljene vrste msds-SupportedEncryptionTypes za sve račune konfigurirane kao da nisu nula bez postavljenih bitova vrste šifriranja (najmanje značajnih 5 bitova), ali nailazim na pogreške pri provjeri autentičnosti nakon instaliranja ažuriranja objavljenih 8. studenog 2022. ili nakon tog datuma na domenskim kontrolerima. Što mogu učiniti?
Taj se poznati problem može ublažiti na jedan od sljedećih načina:
Postavite msds-SupportedEncryptionTypes s bitwise ili ga postavite na trenutni zadani 0x27 da biste sačuvali njegovu trenutačnu vrijednost. Na primjer:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Postavite msds-SupportEncryptionTypes na 0 da bi domenski kontroleri mogli koristiti zadanu vrijednost 0x27.
Sljedeći koraci Radimo na razlučivosti i omogućit ćemo ažuriranje u jednom od sljedećih izdanja.
Pojmovnik
Advanced Encryption Standard (AES)
Advanced Encryption Standard (AES) blok je šifra koja zamjenjuje DES (Data Encryption Standard). AES se može upotrebljavati za zaštitu elektroničkih podataka. AES algoritam može se koristiti za šifriranje (šifriranje) i dešifriranje (dešifriranje) informacija. Šifriranje pretvara podatke u nerazumljiv oblik koji se naziva šifrirani tekst; Dešifriranjem šifriranog teksta podaci se vraćaju u izvorni oblik koji se naziva običnim tekstom. AES se koristi u kriptografiji sa simetričnim ključem, što znači da se isti ključ koristi za operacije šifriranja i dešifriranja. To je također blok šifra, što znači da radi na blokovima fiksne veličine običnog teksta i šifriranog teksta, i zahtijeva da veličina otvorenog teksta kao i šifrirani tekst budu točan višekratnik ove veličine bloka. AES je također poznat kao Rijndaelov simetrični algoritam šifriranja [FIPS197].
Kerberos
Kerberos je protokol za provjeru autentičnosti računalne mreže koji radi na temelju "ulaznica" kako bi omogućio čvorovima koji komuniciraju preko mreže da dokažu svoj identitet jedni drugima na siguran način.
Key Distribution Center (KDC)
Servis Kerberos koji implementira usluge provjere autentičnosti i izdavanja potvrda o prijavi navedena u protokolu Kerberos. Servis se izvodi na računalima koje odabere administrator domene ili domene. Ne nalazi se na svakom računalu na mreži. Mora imati pristup bazi podataka računa za područje koje služi. KDC-ovi integrirani su u ulogu kontrolora domene . To je mrežni servis koji klijentima isporučuje potvrde za provjeru autentičnosti servisa.
RC4-HMAC
RC4-HMAC (RC4) je simetrični algoritam šifriranja promjenjive duljine ključa. Za više informacija vidjeti [SCHNEIER] odjeljak 17.1.
Tipka sesije
relativno kratkotrajni simetrični ključ (kriptografski ključ koji su dogovorili klijent i poslužitelj na temelju zajedničke tajne). Vijek trajanja ključeva sesije ograničen je sesijom s kojom su povezani. Ključ sesije mora biti dovoljno jak da izdrži kriptoanalizu tijekom cijelog trajanja sesije.
Ulaznica za dodjelu ulaznica
Posebna vrsta ulaznice koja se može koristiti za dobivanje drugih ulaznica. TGT-a (ticket-granting ticket) dobiva se nakon početne provjere autentičnosti u razmjeni usluga za provjeru autentičnosti (AS); nakon toga, korisnici ne moraju predočiti svoje vjerodajnice, ali mogu koristiti TGT za dobivanje naknadnih tiketa.