Uvod
Microsoft najavljuje dostupnost nove značajke, Proširene zaštite za provjeru autentičnosti (EPA), na platformi Windows. Ova značajka poboljšava zaštitu i rukovanje vjerodajnicama prilikom provjere autentičnosti mrežnih veza korištenjem integrirane provjere autentičnosti sustava Windows (IWA).
Samo ažuriranje ne pruža izravnu zaštitu od određenih napada kao što je prosljeđivanje vjerodajnica, ali omogućuje aplikacijama da se pridruže EPA-i. Ovaj savjetnik informira razvojne inženjere i administratore sustava o ovoj novoj funkciji i načinu na koji se može implementirati radi zaštite vjerodajnica za provjeru autentičnosti.
Dodatne informacije potražite u Microsoftovu savjetniku za sigurnost 973811.
Dodatne informacije
Ovo sigurnosno ažuriranje mijenja sučelje davatelja usluge sigurnosne podrške (SSPI) radi poboljšanja načina na koji funkcionira provjera autentičnosti sustava Windows tako da se vjerodajnice ne prosljeđuju jednostavno kada je omogućen IWA.
Kada je EPA omogućen, zahtjevi za provjeru autentičnosti povezani su s nazivima upravitelja servisa (SPN) poslužitelja s kojim se klijent pokušava povezati i s vanjskim kanalom Transport Layer Security (TLS) putem kojeg se provodi provjera autentičnosti IWA.
Ažuriranje dodaje novi unos u registar za upravljanje proširenom zaštitom:
Postavite vrijednost registra SuppressExtendedProtection .
Registarski ključ HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA Vrijednost SuppressExtendedProtection Vrsta REG_DWORD Podaci 0 Omogućuje tehnologiju zaštite.
1 Proširena zaštita je onemogućena.
3 Onemogućena je proširena zaštita te su onemogućena i povezivanja kanala koja šalje Kerberos, čak i ako ih aplikacija nudi.
Zadana vrijednost: 0x0
Napomena Problem koji se pojavljuje kada je EPA omogućen prema zadanim postavkama opisan je u temi Neuspjela provjera autentičnosti s poslužitelja koji nisu Windows NTLM ili Kerberos poslužitelji na Microsoftovu web-mjestu.Postavite vrijednost LmCompatibilityLevel za registar.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel do 3. To je postojeći ključ koji omogućuje provjeru autentičnosti NTLMv2. EPA se primjenjuje samo na protokole za provjeru autentičnosti NTLMv2, Kerberos, sažetak i pregovaranje, a ne i na NTLMv1.
Napomena Nakon postavljanja vrijednosti registara SuppressExtendedProtection i LmCompatibilityLevel na računalu sa sustavom Windows morate ponovno pokrenuti računalo.
Omogućivanje proširene zaštite
Napomena Proširena zaštita i NTLMv2 po zadanom su omogućeni u svim podržanim verzijama sustava Windows. Pomoću ovog vodiča možete provjeriti je li to slučaj.
Važno Ovaj odjeljak, postupak ili zadatak sadrže upute za izmjenu registra. No ako nepravilno izmijenite registar, mogli biste uzrokovati ozbiljne probleme. Stoga obavezno pažljivo pratite ove upute. Sigurnosno kopirajte registar prije izmjene radi dodatne zaštite. Ako se pojavi problem, moći ćete vratiti registar. Dodatne informacije o stvaranju sigurnosne kopije i vraćanju registra potražite u članku iz Microsoftove baze znanja pod sljedećim brojem:
- KB322756 Sigurnosno kopiranje i vraćanje registra u sustavu Windows
Da biste nakon preuzimanja i instalacije sigurnosnog ažuriranja za svoju platformu sami omogućili proširenu zaštitu, slijedite ove korake:
Pokrenite Uređivač registra. Da biste to učinili, kliknite Start, zatim Pokreni, u okvir Otvaranje upišite regedit, a potom kliknite U redu.
Pronađite i kliknite sljedeći potključ registra:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSAProvjerite jesu li prisutne vrijednosti registra SuppressExtendedProtection i LmCompatibilityLevel .
Ako vrijednosti registra nema, stvorite ih slijedeći korake u nastavku:
- Uz odabran potključ registra naveden u 2. koraku na izborniku Uređivanje pokažite na Novo, a zatim kliknite vrijednost DWORD.
- Upišite SuppressExtendedProtection, a zatim pritisnite enter.
- Uz odabran potključ registra naveden u 2. koraku na izborniku Uređivanje pokažite na Novo, a zatim kliknite vrijednost DWORD.
- Upišite LmCompatibilityLevel, a zatim pritisnite Enter.
Kliknite da biste odabrali vrijednost registra SuppressExtendedProtection .
Na izborniku Uređivanje kliknite Izmijeni.
U okvir Podaci vrijednosti upišite 0, a zatim kliknite U redu.
Klikom odaberite vrijednost registra LmCompatibilityLevel .
Na izborniku Uređivanje kliknite Izmijeni.
Napomena Tim se korakom mijenjaju preduvjeti za NTLM provjeru autentičnosti. Pročitajte sljedeći članak u Microsoftovoj bazi znanja da biste bili sigurni da ste upoznati s tim ponašanjem.
KB239869 Omogućivanje provjere autentičnosti NTLM 2U okvir Podaci vrijednosti upišite 3, a zatim kliknite U redu.
Zatvorite uređivač registra.
Ako te promjene izvršite na računalu sa sustavom Windows, morate ponovno pokrenuti računalo da bi se promjene primijenile.