KB5014754: Perubahan autentikasi berbasis sertifikat pada pengontrol domain Windows

Tidak ditemukan pemetaan sertifikat yang kuat, dan sertifikat tidak memiliki ekstensi pengidentifikasi keamanan (SID) baru yang dapat divalidasi oleh KDC.

Sertifikat dikeluarkan untuk pengguna sebelum pengguna ada di Direktori Aktif dan tidak ada pemetaan yang kuat yang dapat ditemukan. Kejadian ini hanya dicatat ketika KDC berada dalam mode Kompatibilitas.

SID yang dimuat dalam ekstensi baru sertifikat pengguna tidak cocok dengan PENGGUNA SID, menyiratkan bahwa sertifikat tersebut dikeluarkan untuk pengguna lain.

Catatan Bidang tertentu, seperti Penerbit, Subjek, dan Nomor Seri, dilaporkan dalam format "teruskan". Anda harus membalikkan format ini saat menambahkan string pemetaan ke atribut altSecurityIdentities . Misalnya, untuk menambahkan pemetaan X509IssuerSerialNumber ke pengguna, cari bidang "Penerbit" dan "Nomor Seri" sertifikat yang ingin Anda petakan ke pengguna. Lihat contoh output di bawah ini.

• Penerbit: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• SerialNumber: 2B0000000011AC0000000012

Lalu, perbarui atribut altSecurityIdentities pengguna di Direktori Aktif dengan string berikut:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Untuk memperbarui atribut ini menggunakan Powershell, Anda mungkin menggunakan perintah di bawah ini. Ingatlah bahwa, secara default, hanya administrator domain yang memiliki izin untuk memperbarui atribut ini.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Perhatikan bahwa ketika Anda membalikkan SerialNumber, Anda harus menyimpan urutan byte. Ini berarti bahwa mengembalikan SerialNumber "A1B2C3" harus menghasilkan string "C3B2A1" dan bukan "3C2B1A". Untuk informasi selengkapnya, lihat HowTo: Memetakan pengguna ke sertifikat melalui semua metode yang tersedia dalam atribut altSecurityIdentities.

Setelah Menginstal pembaruan Windows 10 Mei 2022, perangkat akan berada dalam mode Kompatibilitas. Jika sertifikat dapat dipetakan dengan kuat ke pengguna, autentikasi akan terjadi seperti yang diharapkan. Jika sertifikat hanya dapat dipetakan dengan lemah kepada pengguna, autentikasi akan terjadi seperti yang diharapkan. Namun, pesan peringatan akan dicatat kecuali sertifikat lebih lama dari pengguna. Jika sertifikat lebih lama dari pengguna dan kunci registri Certificate Backdating tidak ada atau rentang berada di luar kompensasi backdating, autentikasi akan gagal, dan pesan kesalahan akan dicatat.  Jika kunci registri Certificate Backdating dikonfigurasi, kunci registri akan mencatat pesan peringatan dalam log kejadian jika tanggal berada dalam kompensasi backdating.

Setelah Anda menginstal pembaruan Windows 10 Mei 2022, tonton pesan peringatan apa pun yang mungkin muncul setelah satu bulan atau lebih. Jika tidak ada pesan peringatan, kami sangat menyarankan agar Anda mengaktifkan mode Penegakan Penuh pada semua pengontrol domain menggunakan autentikasi berbasis sertifikat. Anda dapat menggunakan kunci registri KDC untuk mengaktifkan mode Penegakan Penuh.

Kecuali diperbarui ke mode Audit atau mode Penegakan dengan menggunakan kunci registri StrongCertificateBindingEnforcement sebelumnya, pengontrol domain akan berpindah ke mode Penegakan Penuh saat pembaruan keamanan Windows februari 2025 diinstal. Autentikasi akan ditolak jika sertifikat tidak dapat dipetakan dengan kuat. Opsi untuk kembali ke mode Kompatibilitas akan tetap ada hingga pembaruan keamanan Windows 9 September 2025 diinstal. Setelah tanggal ini, kunci registri StrongCertificateBindingEnforcement tidak akan didukung lagi

Jika autentikasi berbasis sertifikat bergantung pada pemetaan lemah yang tidak dapat dipindahkan dari lingkungan, Anda dapat menempatkan pengontrol domain dalam mode Nonaktif menggunakan pengaturan kunci registri. Microsoft tidak merekomendasikan hal ini, dan kami akan menghapus mode Nonaktif pada 11 April 2023.

Setelah Anda menginstal pembaruan Windows 13 Februari 2024, atau yang lebih baru di Server 2019 dan yang lebih baru serta klien yang didukung dengan fitur opsional RSAT yang terinstal, pemetaan sertifikat dalam Pengguna Direktori Aktif & Komputer akan secara default memilih pemetaan kuat menggunakan X509IssuerSerialNumber dan bukan pemetaan yang lemah menggunakan X509IssuerSubject. Pengaturan masih dapat diubah sesuai keinginan.

Gejala

Microsoft telah menerima laporan bahwa pengaturan "Proses meskipun objek Kebijakan Grup tidak berubah" di bawah objek Kebijakan Grup "Sistem>Templat AdministratifKonfigurasi> Komputer Kebijakan Grup>Mengonfigurasi pemrosesan kebijakan registri>" mungkin secara berkala mengganggu pemetaan berbasis nama pada pengontrol domain.

Solusi

Untuk mengatasi masalah ini, nonaktifkan pengaturan "Proses meskipun objek Kebijakan Grup tidak berubah" pada pengontrol domain. Lakukan ini hanya jika pemetaan berbasis nama seperti yang ditentukan dalam Kebijakan Grup "Sistem> Templat >AdministratifKonfigurasi> KomputerKDC>Perbolehkan pemetaan kuat berbasis nama untuk sertifikat" diperlukan. Untuk informasi selengkapnya, lihat Mengaktifkan pemetaan berbasis nama yang kuat dalam skenario pemerintah.

Langkah berikutnya

Kami sedang menyelidiki laporan ini dan akan memberikan informasi selengkapnya jika tersedia.

• Gunakan log Operasional Kerberos di komputer yang relevan untuk menentukan pengontrol domain mana yang gagal masuk. Masuk ke Pemantau Peristiwa>Perangkat Aplikasi dan Layanan Log\ \ MicrosoftWindows\Security-Kerberos\Operational.
• Cari kejadian yang relevan dalam Log Kejadian Sistem di pengontrol domain yang coba diautentikasi oleh akun.
• Jika sertifikat lebih lama dari akun, tulis ulang sertifikat atau tambahkan pemetaan keamanan altSecurityIdentities ke akun (lihat Pemetaan sertifikat).
• Jika sertifikat berisi ekstensi SID, verifikasi bahwa SID cocok dengan akun tersebut.
• Jika sertifikat sedang digunakan untuk mengautentikasi beberapa akun berbeda, setiap akun akan memerlukan pemetaan altSecurityIdentities terpisah.
• Jika sertifikat tidak memiliki pemetaan aman ke akun, tambahkan satu atau biarkan domain dalam mode Kompatibilitas hingga dapat ditambahkan.

Contoh pemetaan sertifikat TLS adalah menggunakan aplikasi web intranet IIS.

• Setelah menginstal perlindungan CVE-2022-26391 dan CVE-2022-26923 , skenario ini menggunakan protokol Kerberos Certificate Service For User (S4U) untuk pemetaan sertifikat dan autentikasi secara default.
• Dalam protokol Kerberos Certificate S4U, permintaan autentikasi mengalir dari server aplikasi ke pengontrol domain, bukan dari klien ke pengontrol domain. Oleh karena itu, kejadian yang relevan akan ada di server aplikasi.

Kunci registri ini tidak akan didukung setelah menginstal pembaruan untuk Windows yang dirilis pada atau setelah September 2025.

Ketika aplikasi server memerlukan autentikasi klien, Schannel secara otomatis mencoba memetakan sertifikat yang disediakan klien TLS ke akun pengguna. Anda dapat mengautentikasi pengguna yang masuk dengan sertifikat klien dengan membuat pemetaan yang mengautentikasi informasi sertifikat ke akun pengguna Windows. Setelah Membuat dan mengaktifkan pemetaan sertifikat, setiap kali klien menyajikan sertifikat klien, aplikasi server Anda secara otomatis mengaitkan pengguna tersebut dengan akun pengguna Windows yang sesuai.

Schannel akan mencoba memetakan setiap metode pemetaan sertifikat yang telah Anda aktifkan hingga berhasil. Schannel mencoba memetakan pemetaan Service-For-User-To-Self (S4U2Self) terlebih dahulu. Pemetaan sertifikat Subjek/Penerbit, Penerbit, dan UPN kini dianggap lemah dan telah dinonaktifkan secara default. Jumlah bitmasked dari opsi yang dipilih menentukan daftar metode pemetaan sertifikat yang tersedia.

Default kunci registri SChannel adalah 0x1F dan sekarang 0x18. Jika Anda mengalami kegagalan autentikasi dengan aplikasi server berbasis Schannel, kami menyarankan agar Anda melakukan pengujian. Tambahkan atau ubah nilai kunci registri CertificateMappingMethods di pengontrol domain dan atur ke 0x1F dan lihat apakah masalah tersebut dapat diatasi. Lihat log kejadian sistem di pengontrol domain untuk setiap kesalahan yang tercantum dalam artikel ini untuk informasi selengkapnya. Ingatlah bahwa mengubah nilai kunci registri SChannel kembali ke default sebelumnya (0x1F) akan kembali menggunakan metode pemetaan sertifikat yang lemah.

Untuk sumber daya dan dukungan tambahan, lihat bagian "Sumber daya tambahan".

Setelah Anda menginstal pembaruan alamat CVE-2022-26931 dan CVE-2022-26923, autentikasi mungkin gagal jika sertifikat pengguna lebih lama dari waktu pembuatan pengguna. Kunci registri ini memungkinkan autentikasi yang berhasil ketika Anda menggunakan pemetaan sertifikat yang lemah di lingkungan Anda dan waktu sertifikat adalah sebelum waktu pembuatan pengguna dalam rentang yang ditetapkan. Kunci registri ini tidak mempengaruhi pengguna atau mesin dengan pemetaan sertifikat yang kuat, karena waktu sertifikat dan waktu pembuatan pengguna tidak diperiksa dengan pemetaan sertifikat yang kuat. Kunci registri ini tidak memiliki efek apa pun ketika StrongCertificateBindingEnforcement diatur ke 2.

Menggunakan kunci registri ini adalah solusi sementara untuk lingkungan yang memerlukannya dan harus dilakukan dengan hati-hati. Menggunakan kunci registri ini berarti yang berikut ini untuk lingkungan Anda:

• Kunci registri ini hanya berfungsi dalam mode Kompatibilitas yang dimulai dengan pembaruan yang dirilis 10 Mei 2022. Autentikasi akan diperbolehkan dalam offset kompensasi backdating tetapi peringatan log kejadian akan dicatat untuk penjilidan yang lemah.
• Mengaktifkan kunci registri ini memungkinkan autentikasi pengguna ketika waktu sertifikat adalah sebelum waktu pembuatan pengguna dalam rentang yang ditetapkan sebagai pemetaan yang lemah. Pemetaan yang lemah akan tidak didukung setelah menginstal pembaruan untuk Windows yang dirilis pada atau setelah September 2025.

Anda menjalankan perintah sertutil berikut ini untuk mengecualikan sertifikat templat pengguna agar tidak mendapatkan ekstensi baru.

1. Masuk ke server Certificate Authority atau klien Windows 10 gabungan domain dengan administrator perusahaan atau kredensial yang setara.
2. Buka prompt perintah dan pilih Jalankan sebagai administrator.
3. Jalankan certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Menonaktifkan penambahan ekstensi ini akan menghapus perlindungan yang disediakan oleh ekstensi baru. Pertimbangkan untuk melakukan ini hanya setelah salah satu hal berikut ini:

1. Anda mengonfirmasi bahwa sertifikat terkait tidak dapat diterima untuk Kriptografi Kunci Publik untuk Autentikasi Awal (PKINIT) dalam autentikasi Protokol Kerberos di KDC
2. Sertifikat terkait memiliki pemetaan sertifikat kuat lainnya yang dikonfigurasi

Lingkungan yang memiliki penyebaran CA non-Microsoft tidak akan dilindungi menggunakan ekstensi SID baru setelah menginstal pembaruan Windows 10 Mei 2022. Pelanggan yang terpengaruh harus bekerja dengan vendor CA terkait untuk mengatasi hal ini atau harus mempertimbangkan untuk menggunakan pemetaan sertifikat kuat lainnya yang dijelaskan di atas.

Untuk sumber daya dan dukungan tambahan, lihat bagian "Sumber daya tambahan".

Tidak, perpanjangan tidak diperlukan. CA akan dikirim dalam mode Kompatibilitas. Jika Anda menginginkan pemetaan yang kuat menggunakan ekstensi ObjectSID, Anda akan memerlukan sertifikat baru.

Dalam pembaruan Windows 11 Februari 2025, perangkat yang belum berada dalam Penerapan (nilai registri StrongCertificateBindingEnforcement diatur ke 2), akan dipindahkan ke Penegakan. Jika autentikasi ditolak, Anda akan melihat ID Kejadian 39 (atau ID Kejadian 41 untuk Windows Server 2008 R2 SP1 dan Windows Server 2008 SP2). Anda akan memiliki opsi untuk mengatur nilai kunci registri kembali ke 1 (Mode kompatibilitas) pada tahap ini.

Dalam pembaruan Windows 9 September 2025, StrongCertificateBindingEnforcement tidak akan didukung lagi.