KB5014754: Perubahan autentikasi berbasis sertifikat di pengontrol domain Windows

Tidak ada pemetaan sertifikat yang kuat yang dapat ditemukan, dan sertifikat tidak memiliki ekstensi pengidentifikasi keamanan baru (SID) yang dapat divalidasi oleh KDC.

Sertifikat dikeluarkan untuk pengguna sebelum pengguna ada di Direktori Aktif dan tidak ada pemetaan yang kuat yang dapat ditemukan. Peristiwa ini hanya dicatat ketika KDC berada dalam mode Kompatibilitas.

SID yang terdapat dalam ekstensi baru sertifikat pengguna tidak cocok dengan SID pengguna, yang menyiratkan bahwa sertifikat tersebut diterbitkan untuk pengguna lain.

catatan Bidang tertentu, seperti Penerbit, Subjek, dan Nomor Seri, dilaporkan dalam format "terusan". Anda harus membalikkan format ini saat menambahkan string pemetaan ke atribut altSecurityIdentities . Misalnya, untuk menambahkan pemetaan X509IssuerSerialNumber ke pengguna, cari bidang "Penerbit" dan "Nomor Seri" pada sertifikat yang ingin Anda petakan ke pengguna. Lihat sampel output di bawah ini.

• Penerbit: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Nomor Seri: 2B0000000011AC0000000012

Kemudian, perbarui atribut altSecurityIdentities pengguna di Direktori Aktif dengan string berikut:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>12000000000AC1100000002B"

Untuk memperbarui atribut ini menggunakan Powershell, Anda dapat menggunakan perintah di bawah ini. Perlu diingat bahwa, secara default, hanya administrator domain yang memiliki izin untuk memperbarui atribut ini.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC1100000002B"}

Perhatikan bahwa saat membalikkan SerialNumber, Anda harus mempertahankan urutan byte. Artinya, membalikkan Nomor Serial "A1B2C3" harus menghasilkan string "C3B2A1" dan bukan "3C2B1A". Untuk informasi selengkapnya, lihat Cara: Memetakan pengguna ke sertifikat melalui semua metode yang tersedia dalam atribut altSecurityIdentities.

Setelah Anda menginstal pembaruan Windows 10 Mei 2022, perangkat akan berada dalam mode Kompatibilitas. Jika sertifikat dapat dipetakan dengan kuat ke pengguna, autentikasi akan terjadi seperti yang diharapkan. Jika sertifikat hanya dapat dipetakan dengan lemah ke pengguna, autentikasi akan terjadi seperti yang diharapkan. Namun, pesan peringatan akan dicatat kecuali sertifikat tersebut lebih lama dari pengguna. Jika sertifikat lebih lama dari pengguna dan kunci registri Penanggalan Mundur Sertifikat tidak ada atau rentang berada di luar kompensasi penanggalan mundur, autentikasi akan gagal, dan pesan kesalahan akan dicatat.  Jika kunci registri Certificate Backdating dikonfigurasi, kunci registri akan mencatat pesan peringatan dalam log peristiwa jika tanggal termasuk dalam kompensasi backdate.

Setelah menginstal pembaruan Windows 10 Mei 2022, perhatikan pesan peringatan yang mungkin muncul setelah satu bulan atau lebih. Jika tidak ada pesan peringatan, kami sangat menyarankan Anda mengaktifkan mode Penegakan Penuh pada semua pengontrol domain yang menggunakan autentikasi berbasis sertifikat. Anda dapat menggunakan kunci registri KDC untuk mengaktifkan mode Penegakan Penuh.

Kecuali diperbarui ke mode Audit atau mode Penegakan menggunakan kunci registri StrongCertificateBindingEnforcement sebelumnya, pengontrol domain akan berpindah ke mode Penegakan Penuh saat pembaruan keamanan Windows Februari 2025 diinstal. Autentikasi akan ditolak jika sertifikat tidak dapat dipetakan dengan kuat. Opsi untuk kembali ke mode Kompatibilitas akan tetap ada hingga pembaruan keamanan Windows 9 September 2025 diinstal. Setelah tanggal ini, kunci registri StrongCertificateBindingEnforcement tidak akan didukung lagi

Jika autentikasi berbasis sertifikat bergantung pada pemetaan lemah yang tidak dapat Anda pindahkan dari lingkungan, Anda dapat menempatkan pengontrol domain dalam mode Dinonaktifkan menggunakan pengaturan kunci registri. Microsoft tidak merekomendasikan hal ini, dan kami akan menghapus mode Dinonaktifkan pada 11 April 2023.

Setelah Anda menginstal pembaruan Windows 13 Februari 2024 atau yang lebih baru di Server 2019 dan di atasnya serta mendukung klien dengan fitur opsional RSAT yang diinstal, pemetaan sertifikat di Pengguna Direktori Aktif & Komputer akan secara default memilih pemetaan kuat menggunakan X509IssuerSerialNumber, bukan pemetaan lemah menggunakan X509IssuerSubject. Pengaturan masih dapat diubah sesuai keinginan.

Gejala

Microsoft telah menerima laporan bahwa pengaturan "Proses meskipun objek Kebijakan Grup belum berubah" di bawah objek Kebijakan Grup "Templat> Administratif Konfigurasi Komputer>Kebijakan Grup>SistemMengonfigurasi>pemrosesan kebijakan registri" dapat mengganggu pemetaan berbasis nama pada pengontrol domain sesekali.

Solusi

Untuk mengatasi masalah ini, nonaktifkan pengaturan "Proses meskipun objek Kebijakan Grup belum berubah" pada pengontrol domain. Hanya lakukan hal ini jika pemetaan berbasis nama seperti yang didefinisikan dalam Kebijakan Grup "Templat> AdministratifKonfigurasi>Komputer> SistemKDC>Izinkan pemetaan kuat berbasis nama untuk sertifikat" diperlukan. Untuk informasi selengkapnya, lihat Mengaktifkan pemetaan berbasis nama yang kuat dalam skenario pemerintah.

Langkah berikutnya

Kami sedang menyelidiki laporan ini dan akan memberikan informasi lebih lanjut saat tersedia.

• Gunakan log Operasional Kerberos pada komputer terkait untuk menentukan pengontrol domain mana yang gagal masuk. Buka Pemantau PeristiwaLog>Aplikasi dan Layanan Microsoft\ \Windows\Security-Kerberos\Operational.
• Cari kejadian yang relevan dalam Log Peristiwa Sistem pada pengontrol domain yang coba diautentikasi akun.
• Jika sertifikat lebih lama dari akun, terbitkan ulang sertifikat atau tambahkan pemetaan altSecurityIdentities yang aman ke akun (lihat Pemetaan sertifikat).
• Jika sertifikat berisi ekstensi SID, verifikasi bahwa SID cocok dengan akun.
• Jika sertifikat digunakan untuk mengautentikasi beberapa akun yang berbeda, setiap akun memerlukan pemetaan altSecurityIdentities yang terpisah.
• Jika sertifikat tidak memiliki pemetaan yang aman ke akun, tambahkan atau tinggalkan domain dalam mode Kompatibilitas hingga sertifikat dapat ditambahkan.

Contoh pemetaan sertifikat TLS adalah menggunakan aplikasi web intranet IIS.

• Setelah menginstal perlindungan CVE-2022-26391 dan CVE-2022-26923 , skenario ini menggunakan protokol Kerberos Certificate Service For User (S4U) untuk pemetaan sertifikat dan autentikasi secara default.
• Dalam protokol S4U Sertifikat Kerberos, permintaan autentikasi mengalir dari server aplikasi ke pengontrol domain, bukan dari klien ke pengontrol domain. Oleh karena itu, peristiwa yang relevan akan berada di server aplikasi.

Kunci registri ini tidak akan didukung setelah menginstal pembaruan untuk Windows yang dirilis pada atau setelah September 2025.

Saat aplikasi server memerlukan autentikasi klien, Schannel secara otomatis mencoba memetakan sertifikat yang disediakan klien TLS ke akun pengguna. Anda dapat mengautentikasi pengguna yang masuk dengan sertifikat klien dengan membuat pemetaan yang menghubungkan informasi sertifikat ke akun pengguna Windows. Setelah Anda membuat dan mengaktifkan pemetaan sertifikat, setiap kali klien menyajikan sertifikat klien, aplikasi server Anda secara otomatis mengaitkan pengguna tersebut dengan akun pengguna Windows yang sesuai.

Schannel akan mencoba memetakan setiap metode pemetaan sertifikat yang telah Anda aktifkan hingga berhasil. Schannel mencoba memetakan pemetaan Service-for-User-to-Self (S4U2Self) terlebih dahulu. Pemetaan sertifikat Subjek/Penerbit, Penerbit, dan UPN kini dianggap lemah dan telah dinonaktifkan secara default. Jumlah bitmasked dari opsi yang dipilih menentukan daftar metode pemetaan sertifikat yang tersedia.

Kunci registri SChannel default 0x1F dan sekarang 0x18. Jika Anda mengalami kegagalan autentikasi dengan aplikasi server berbasis Schannel, kami sarankan Anda melakukan pengujian. Tambahkan atau ubah nilai kunci registri CertificateMappingMethods pada pengontrol domain dan atur ke 0x1F dan lihat apakah hal tersebut mengatasi masalah. Lihat di log kejadian Sistem pada pengontrol domain untuk mengetahui kesalahan apa pun yang tercantum dalam artikel ini untuk informasi selengkapnya. Perlu diingat bahwa mengubah nilai kunci registri SChannel kembali ke default sebelumnya (0x1F) akan kembali menggunakan metode pemetaan sertifikat yang lemah.

Untuk sumber daya dan dukungan tambahan, lihat bagian "Sumber daya tambahan".

Setelah Anda menginstal pembaruan yang menangani CVE-2022-26931 dan CVE-2022-26923, autentikasi mungkin gagal jika sertifikat pengguna lebih lama dari waktu pembuatan pengguna. Kunci registri ini memungkinkan autentikasi yang berhasil ketika Anda menggunakan pemetaan sertifikat yang lemah di lingkungan Anda dan waktu sertifikat sebelum waktu pembuatan pengguna dalam rentang yang ditetapkan. Kunci registri ini tidak memengaruhi pengguna atau komputer dengan pemetaan sertifikat yang kuat, karena waktu sertifikat dan waktu pembuatan pengguna tidak diperiksa dengan pemetaan sertifikat yang kuat. Kunci registri ini tidak memiliki efek apa pun saat StrongCertificateBindingEnforcement diatur ke 2.

Menggunakan kunci registri ini adalah solusi sementara untuk lingkungan yang memerlukannya dan harus dilakukan dengan hati-hati. Menggunakan kunci registri ini berarti hal berikut untuk lingkungan Anda:

• Kunci registri ini hanya berfungsi dalam mode Kompatibilitas dimulai dengan pembaruan yang dirilis 10 Mei 2022. Autentikasi akan diizinkan dalam offset kompensasi penanggalan mundur, tetapi peringatan log peristiwa akan dicatat untuk pengikatan yang lemah.
• Mengaktifkan kunci registri ini memungkinkan autentikasi pengguna ketika waktu sertifikat sebelum waktu pembuatan pengguna dalam rentang yang ditetapkan sebagai pemetaan lemah. Pemetaan yang lemah tidak akan didukung setelah menginstal pembaruan untuk Windows yang dirilis pada atau setelah September 2025.

Anda menjalankan perintah certutil berikut untuk mengecualikan sertifikat templat pengguna agar tidak mendapatkan ekstensi baru.

1. Masuk ke server Otoritas Sertifikat atau klien Windows 10 yang tergabung dengan domain dengan administrator perusahaan atau kredensial yang setara.
2. Buka prompt perintah dan pilih Jalankan sebagai administrator.
3. Jalankan certutil -dstemplate pengguna msPKI-Enrollment-Flag +0x00080000.

Menonaktifkan penambahan ekstensi ini akan menghapus perlindungan yang diberikan oleh ekstensi baru. Pertimbangkan untuk melakukan hal ini hanya setelah salah satu hal berikut:

1. Anda mengonfirmasi bahwa sertifikat yang sesuai tidak dapat diterima untuk Kriptografi Kunci Publik untuk Autentikasi Awal (PKINIT) dalam autentikasi Protokol Kerberos di KDC
2. Sertifikat yang sesuai memiliki pemetaan sertifikat kuat lainnya yang dikonfigurasi

Lingkungan yang memiliki penyebaran CA non-Microsoft tidak akan dilindungi menggunakan ekstensi SID baru setelah menginstal pembaruan Windows 10 Mei 2022. Pelanggan yang terpengaruh harus bekerja sama dengan vendor CA terkait untuk mengatasi hal ini atau harus mempertimbangkan untuk menggunakan pemetaan sertifikat kuat lainnya yang dijelaskan di atas.

Untuk sumber daya dan dukungan tambahan, lihat bagian "Sumber daya tambahan".

Tidak, perpanjangan tidak diperlukan. CA akan dikirimkan dalam mode Kompatibilitas. Jika Anda menginginkan pemetaan yang kuat menggunakan ekstensi ObjectSID, Anda memerlukan sertifikat baru.

Dalam pembaruan Windows 11 Februari 2025, perangkat yang belum berada dalam Penegakan (nilai registri StrongCertificateBindingEnforcement diatur ke 2), akan dipindahkan ke Penegakan. Jika autentikasi ditolak, Anda akan melihat ID Kejadian 39 (atau ID Kejadian 41 untuk Windows Server 2008 R2 SP1 dan Windows Server 2008 SP2). Anda akan memiliki opsi untuk mengatur nilai kunci registri kembali ke 1 (Mode kompatibilitas) pada tahap ini.

Dalam pembaruan Windows 9 September 2025, nilai registri StrongCertificateBindingEnforcement tidak akan didukung lagi.