Riepilogo
Gli aggiornamenti di Windows rilasciati a partire dal 10 agosto 2021 richiederanno, per impostazione predefinita, privilegi amministrativi per installare i driver. È stata apportata questa modifica al comportamento predefinito per risolvere il rischio in tutti i dispositivi Windows, inclusi i dispositivi che non usano le funzionalità di selezione e stampa o stampa. Per ulteriori informazioni, vedere Modifica del comportamento predefinito di Punta e stampa e CVE-2021-34481.
Per impostazione predefinita, gli utenti non amministratori non potranno più eseguire le operazioni seguenti usando Point and Print senza un'elevazione dei privilegi ad amministratore:
- Installare nuove stampanti usando i driver su un computer o server remoto
- Aggiorna i driver della stampante esistenti usando driver da computer o server remoto
Avvertenza Se non si usa Point and Print, questa modifica non dovrebbe essere interessata e verrà protetta per impostazione predefinita dopo l'installazione degli aggiornamenti rilasciati il 10 agosto 2021 o versione successiva.
Consigli I client di stampa nell'ambiente in uso devono disporre di un aggiornamento rilasciato il 12 gennaio 2021 o versione successiva prima di installare gli aggiornamenti rilasciati il 14 settembre 2021. Per altre informazioni, vedi la seconda domanda in "Domande frequenti" di seguito.
Modificare il comportamento di installazione del driver predefinito usando una chiave del Registro di sistema
È possibile modificare questo comportamento predefinito usando la chiave del Registro di sistema nella tabella seguente. Tuttavia, prestare molta attenzione quando si utilizza un valore pari a zero (0), poiché ciò rende i dispositivi vulnerabili. Se è necessario utilizzare il valore del Registro di sistema 0 nell'ambiente, è consigliabile utilizzarlo temporaneamente durante la modifica dell'ambiente per consentire ai dispositivi Windows di usare il valore di uno (1).
| Posizione del Registro di sistema | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| Nome DWord | RestrictDriverInstallationToAdministrators |
| Dati valore |
Comportamento predefinito: Se si imposta questo valore su 1oppure, se la chiave non è definita o non è presente, è necessario disporre dei privilegi di amministratore per installare un driver della stampante quando si usa la funzionalità di selezione e stampa. Questa chiave del Registro di sistema sostituirà tutte le impostazioni dei Criteri di gruppo per le restrizioni relative a punti e stampe e garantisce che solo gli amministratori possano installare i driver della stampante da un server di stampa usando Punta e stampa. L'impostazione del valore su 0 consente agli utenti non amministratori di installare driver firmati e non firmati in un server di stampa, ma non sostituisce le impostazioni dei Criteri di gruppo Punta e stampa. Di conseguenza, le impostazioni dei Criteri di gruppo per le restrizioni di punti e stampa possono sostituire questa impostazione della chiave del Registro di sistema per impedire agli utenti non amministratori di installare driver di stampa firmati e non firmati da un server di stampa. Alcuni amministratori potrebbero impostare il valore su 0 per consentire agli utenti non amministratori di installare e aggiornare i driver dopo aver aggiunto ulteriori restrizioni, inclusa l'aggiunta di un'impostazione dei criteri che limita la posizione da cui è possibile installare i driver. Consigli Non esiste alcuna combinazione di mitigazioni equivalente all'impostazione di RestrictDriverInstallationToAdministrators su 1. Nota Gli aggiornamenti rilasciati il 6 luglio 2021 o versione successiva avranno un valore predefinito di 0 (disabilitato) fino all'installazione degli aggiornamenti rilasciati il 10 agosto 2021 o versione successiva. Aggiornamenti rilasciati il 10 agosto 2021 o versione successiva hanno un valore predefinito di 1 (abilitato). |
| Requisiti per il riavvio | Durante la creazione o la modifica di questo valore del Registro di sistema non è necessario riavviare il sistema. |
Avvertenza Gli aggiornamenti di Windows non impostano o modificano la chiave del Registro di sistema. È possibile impostare la chiave del Registro di sistema prima o dopo l'installazione degli aggiornamenti rilasciati il 10 agosto 2021 o versione successiva.
Automatizzare l'aggiunta del valore del Registro di sistema RestrictDriverInstallationToAdministrators
Per automatizzare l'aggiunta del valore del Registro di sistema RestrictDriverInstallationToAdministrators, attenersi alla seguente procedura:
- Aprire una finestra del prompt dei comandi (cmd.exe) con autorizzazioni elevate.
- Digitare il comando seguente, quindi premere INVIO:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Impostare RestrictDriverInstallationToAdministrators usando i criteri di gruppo
Dopo aver installato gli aggiornamenti rilasciati il 12 ottobre 2021 o versione successiva, è anche possibile impostare RestrictDriverInstallationToAdministrators usando un Criteri di gruppo, usando le istruzioni seguenti:
- Aprire lo strumento Editor Criteri di gruppo e passare a Configurazione> computer,Modelli> amministrativi, Stampanti.
- Imposta l'impostazione Limita l'installazione del driver di stampa su Administrators su "Abilitato". Il valore del Registro di sistema RestrictDriverInstallationToAdministrators verrà impostato su 1.
Installare i driver di stampa quando viene applicata la nuova impostazione predefinita
Se si imposta RestrictDriverInstallationToAdministrators su non definito o su 1, a seconda dell'ambiente, gli utenti devono usare uno dei metodi seguenti per installare le stampanti:
- Quando vengono richieste le credenziali quando si tenta di installare un driver della stampante, specificare un nome utente e una password di amministratore.
- Includi i driver della stampante necessari nell'immagine del sistema operativo.
- Impostare temporaneamente RestrictDriverInstallationToAdministrators su 0 per installare i driver della stampante.
Avvertenza Se non è possibile installare i driver della stampante, anche con privilegi di amministratore, è necessario disabilitare i Criteri di gruppo Usa solo punto pacchetto e stampa.
Impostazioni consigliate e mitigazioni parziali per gli ambienti che non possono utilizzare il comportamento predefinito
Le mitigazioni seguenti possono aiutare a proteggere tutti gli ambienti, ma soprattutto se è necessario impostare RestrictDriverInstallationToAdministrators su 0. Queste mitigazioni non risolvono completamente le vulnerabilità in CVE-2021-34481.
Consigli Non esiste alcuna combinazione di mitigazioni equivalente all'impostazione di RestrictDriverInstallationToAdministrators su 1.
Verificare che RpcAuthnLevelPrivacyEnabled sia impostato su 1 o non sia definito
Verifica che RpcAuthnLevelPrivacyEnabled sia impostato su 1 o non sia definito come descritto in Gestione della distribuzione delle modifiche di associazione RPC della stampante per CVE-2021-1678 (KB4599464).
Verificare che i prompt di sicurezza siano abilitati per Point and Print
Verificare che i Prompt di sicurezza siano abilitati per Point and Print come descritto in KB5005010: Limitazione dell'installazione di nuovi driver della stampante dopo l'applicazione degli aggiornamenti del 6 luglio 2021.
Consentire agli utenti di connettersi solo a server di stampa specifici considerati attendibili
Questo criterio, Restrizioni di selezione e stampa, si applica alle stampanti di selezione e stampa che usano un driver non compatibile con i pacchetti nel server.
Eseguire la procedura seguente:
- Aprire la console Gestione Criteri di gruppo.
- Nell'albero della console della console GPMC passare al dominio o all'unità organizzativa in cui sono archiviati gli account utente per cui si desidera modificare le impostazioni di sicurezza del driver della stampante.
- Fare clic con il pulsante destro del mouse sul dominio o sull'unità organizzativa appropriata, quindi scegliere Crea un oggetto Criteri di gruppo nel dominio e Collegalo qui. Digitare un nome per il nuovo oggetto Criteri di gruppo e quindi fare clic su OK.
- Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo creato e quindi scegliere Modifica.
- Nella finestra Editor gestione criteri di gruppo fare clic su Configurazione computer, su Criteri, su Modelli amministrativi e infine su Stampanti.
- Fare clic con il pulsante destro del mouse su Restrizioni punti e stampa e quindi scegliere Modifica.
- Nella finestra di dialogo Restrizioni punti e stampa , fare clic su Abilitato.
- Selezionare la casella di controllo Gli utenti possono puntare e stampare su questi server solo se non è già selezionata.
- Immettere i nomi completi dei server. Separare i nomi con un punto e virgola (;).
Avvertenza Dopo aver installato gli aggiornamenti rilasciati il 21 settembre 2021 o versione successiva, è possibile configurare questo criterio di gruppo con un punto o un punto (.) indirizzi IP delimitati in modo intercambiabile con nomi host completi. - Nella casella Durante l'installazione dei driver per una nuova connessione , seleziona Mostra avviso e prompt con privilegi elevati.
- Nella casella Quando vengono aggiornati i driver per una connessione esistente selezionare Mostra avviso e prompt con privilegi elevati.
- Fare clic su OK.
Consentire agli utenti di connettersi solo a server specifici di selezione e stampa del pacchetto considerati attendibili
Questo criterio, Package Point and Print - Server approvati, limiterà il comportamento del client in modo da consentire solo le connessioni di selezione e stampa ai server definiti che usano driver compatibili con i pacchetti.
Eseguire la procedura seguente:
Nel controller di dominio selezionare Start, Strumenti di amministrazione e quindi Gestione criteri di gruppo. In alternativa, selezionare Start, selezionare Esegui, digitare GPMC.MSC e quindi premere INVIO.
Espandere la foresta e quindi espandere i domini.
Nel dominio selezionare l'unità organizzativa in cui si vuole creare il criterio.
Fare clic con il pulsante destro del mouse sull'unità organizzativa e quindi scegliere Crea un oggetto Criteri di gruppo in questo dominio e collegarlo qui.
Assegnare un nome all'oggetto Criteri di gruppo e quindi scegliere OK.
Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo appena creato e quindi scegliere Modifica per aprire Editor Gestione criteri di gruppo.
Nell'Editor Gestione criteri di gruppo espandere le cartelle seguenti:
- Configurazione computer
- Criteri
- Modelli amministrativi
- Criteri informatici locali
- Stampanti
Abilitare Package Point and Print - Server approvati e selezionare il pulsante Mostra....
Immettere i nomi completi dei server. Separare i nomi con un punto e virgola (;).
Avvertenza Dopo aver installato gli aggiornamenti rilasciati il 21 settembre 2021 o versione successiva, è possibile configurare questo criterio di gruppo con un punto o un punto (.) indirizzi IP delimitati in modo intercambiabile con nomi host completi.
Domande frequenti
D1: Ogni volta che provo a stampare, ricevo un messaggio che dice: "Ti fidi di questa stampante" e sono necessarie credenziali di amministratore per continuare. È previsto?
R1: Non è prevista la richiesta di ogni processo di stampa. La maggior parte degli ambienti o dei dispositivi in cui si verifica questo problema verrà risolta installando gli aggiornamenti rilasciati il 12 ottobre 2021 o versione successiva. Questi aggiornamenti risolvono un problema relativo ai server di stampa e ai client di stampa che non hanno lo stesso fuso orario.
Se il problema persiste anche dopo l'installazione degli aggiornamenti rilasciati il 12 ottobre 2021 o versione successiva, potrebbe essere necessario contattare il produttore della stampante per ottenere driver aggiornati. Questo problema può verificarsi anche quando un driver di stampa nel client di stampa e nel server di stampa usano lo stesso nome file, ma sul server è presente una versione più recente del file del driver. Quando il client di stampa si connette al server di stampa, trova un file di driver più recente e viene richiesto di aggiornare i driver nel client di stampa. Tuttavia, il file nel pacchetto offerto per l'installazione non include la versione più recente del file del driver.
I file confrontati sono i driver all'interno della cartella di spool, in genere in C:\Windows\System32\spool\drivers\x64\3 sia sul client di stampa che sul server di stampa. Il pacchetto driver offerto per l'installazione si trova in genere in C:\Windows\System32\spool\drivers\x64\PCC nel server di stampa. Dopo aver confrontato i file nella cartella \3 tra i dispositivi, se non corrispondono, viene installato il pacchetto in PCC . Se i file nella cartella \3 del server di stampa non provengono dallo stesso driver della stampante che PCC offre al client, il client di stampa confronterà i file e individuerà la mancata corrispondenza ogni volta che viene stampata.
Per attenuare questo problema, verificare di usare i driver più recenti per tutti i dispositivi di stampa. Se possibile, usare la stessa versione del driver di stampa nel client di stampa e nel server di stampa. Se l'aggiornamento dei driver nell'ambiente non risolve il problema, contattare l'assistenza del produttore della stampante (OEM).
D2: Ho installato gli aggiornamenti rilasciati il 14 settembre 2021 e alcuni dispositivi Windows non possono stampare su stampanti di rete. Esiste un ordine in cui è necessario installare gli aggiornamenti sui client di stampa e sui server di stampa?
R2: Prima di installare gli aggiornamenti rilasciati il 14 settembre 2021 o versione successiva nei server di stampa, i client di stampa devono aver installato gli aggiornamenti rilasciati il 12 gennaio 2021 o versione successiva. I dispositivi Windows non stampano se non hanno installato un aggiornamento rilasciato il 12 gennaio 2021 o versione successiva.
Avvertenza Non è necessario installare gli aggiornamenti precedenti ed è possibile installare qualsiasi aggiornamento dopo il 12 gennaio 2021 nei client di stampa. È consigliabile installare l'aggiornamento cumulativo più recente sia nei client che nei server.