Errore quando si tenta di eseguire RDP in una macchina virtuale Windows in Azure: Correzione oracolo di crittografia CredSSP

In questo articolo viene fornita una soluzione a un problema per cui non è possibile connettersi a una macchina virtuale tramite RDP con l'errore: Correzione oracolo di crittografia CredSSP.

Versione originale del prodotto: macchina virtuale che esegue Windows
Numero originale della Knowledge Base: 4295591

Sintomi

Considerare lo scenario descritto di seguito:

• Gli aggiornamenti del protocollo CredSSP (Credential Security Support Provider) per CVE-2018-0886 vengono applicati a una macchina virtuale Windows (server remoto) in Microsoft Azure o in un client locale.
• Si tenta di effettuare una connessione desktop remoto (RDP) al server dal client locale.

In questo caso, viene visualizzato il seguente messaggio di errore:

Si è verificato un errore di autenticazione. La funzione richiesta non è supportata. Computer remoto: <nome computer o IP>. Ciò potrebbe essere dovuto a Correzione oracolo di crittografia CredSSP. Per ulteriori informazioni, vedere https://go.microsoft.com/fwlink/?linkid=866660.

Come verificare se l'aggiornamento CredSSP è installato

Controllare la cronologia degli aggiornamenti per i seguenti aggiornamenti, oppure controllare la versione di TSpkg.dll disponibile presso %systemroot%\system32.

Causa

Questo errore si verifica se si sta tentando di stabilire una connessione RDP non protetta e la connessione RDP non protetta è bloccata da un'impostazione del criterio Correzione oracolo di crittografia nel server o nel client. Questa impostazione definisce come creare una sessione RDP utilizzando CredSSP e se è consentita una RDP non protetta.

La tabella seguente riassume il comportamento della connessione RDP in base allo stato di aggiornamento di CredSSP e all'impostazione del criterio CredSSP (valore AllowEncryptionOracle):

Esempi

                             ¹ Sul server è installato l'aggiornamento CredSSP e Correzione oracolo di crittografia è impostato su Mitagata sul lato server. Il server accetterà la connessione RDP dai client che non hanno installato l'aggiornamento CredSSP.

                             ² Il client ha installato l'aggiornamento CredSSP e Correzione oracolo di crittografia è impostato su Forza client aggiornati o Mitigata sul lato client. Questo client non può connettersi a un server in cui non è installato l'aggiornamento CredSSP.

Risoluzione

Per risolvere il problema, installare gli aggiornamenti CredSSP per client e server in modo che la connessione RDP possa essere stabilita in modo sicuro. Per maggiori informazioni, consultare CVE-2018-0886 | Vulnerabilità dell'esecuzione di codice remoto CredSSP.

Come installare questo aggiornamento tramite la console seriale di Azure

1. Accedere al Portale di Azure, selezionare Macchina virtuale e quindi scegliere la macchina virtuale.

2. Scorrere fino alla sezione Guida, quindi fare clic su Console seriale. La console seriale richiede l'attivazione della console di amministrazione speciale (SAC) all'interno della macchina virtuale Windows. Se non viene visualizzato SAC> nella console (come mostrato nella seguente schermata), andare alla sezione "Come installare questo aggiornamento utilizzando Remote PowerShell" in questo articolo.

   

3. Digitare cmd per avviare un canale con un'istanza CMD.

4. Digitare ch -si 1 per passare al canale in cui è in esecuzione l'istanza CMD. Viene visualizzato il seguente output:

   

5. Premere INVIO e quindi immettere le credenziali di accesso con autorizzazione amministrativa.

6. Dopo aver immesso le credenziali valide, viene aperta l'istanza CMD e verrà visualizzato il comando in cui è possibile avviare la procedura per la risoluzione dei problemi.

   

7. Per avviare un'istanza di PowerShell, digitare PowerShell.

8. Nell'istanza di PowerShell, eseguire lo script della console seriale in base al sistema operativo della macchina virtuale. Lo script esegue quindi i passaggi seguenti:

   • Creare una cartella in cui salvare il file scaricato.
   • Scaricare l'aggiornamento.
   • Installare l'aggiornamento.
   • Aggiungere la chiave per la vulnerabilità per consentire ai client non aggiornati di connettersi alla macchina virtuale.
   • Riavviare la macchina virtuale

Come installare questo aggiornamento utilizzando PowerShell in remoto

1. Nei computer con sistema operativo Windows in cui è installato PowerShell, aggiungere l'indirizzo IP della macchina virtuale all'elenco "attendibile" nel file host, nel modo indicato di seguito:

   Set-item wsman:\localhost\Client\TrustedHosts -value <IP>
   

2. Nel portale di Azure, configurare i Gruppi di sicurezza di rete nella macchina virtuale per consentire il traffico alla porta 5986.

3. In Portale di Azure, selezionare Macchina virtuale><La tua macchina virtuale>, scorrere fino alla sezione OPERAZIONI, fare clic sul comando Esegui, quindi eseguire EnableRemotePS.

4. Nel computer con sistema operativo Windows, eseguire lo script di PowerShell in remoto per la versione di sistema appropriata della macchina virtuale. Lo script esegue quindi i passaggi seguenti:

   • Connessione a PowerShell in remoto sulla macchina virtuale.
   • Creare una cartella in cui salvare il file scaricato.
   • Scaricare l'aggiornamento CredSSP.
   • Installare l'aggiornamento.
   • Impostare la chiave del Registro di sistema per la vulnerabilità per consentire ai client non aggiornati di connettersi alla macchina virtuale.
   • Abilitare la console seriale per una mitigazione futura e più semplice.
   • Riavviare la macchina virtuale.

Soluzione alternativa

Scenario 1: i client aggiornati non possono comunicare con i server non aggiornati

Lo scenario più comune è che nel client è installato l'aggiornamento CredSSP e l'impostazione del criterio della Correzione crittografia Oracle non consente una connessione RDP non sicura a un server in cui non è installato l'aggiornamento CredSSP.

Per risolvere il problema, attenersi alla seguente procedura:

1. Nel client che ha installato l'aggiornamento CredSSP, eseguire gpedit.msc e quindi, nel riquadro di spostamento, passare a Configurazione computer>Modelli amministrativi>Sistema>Delega di credenziali.

2. Modificare il criterio della Correzione crittografia Oracle su Abilitato e quindi impostare il Livello di protezione su Vulnerabile.

   Se non è possibile utilizzare gpedit.msc, è possibile apportare la stessa modifica utilizzando il Registro di sistema nel modo indicato di seguito:

   1. Aprire una finestra del prompt dei comandi come amministratore.

   2. Per aggiungere un valore del Registro di sistema, digitare il comando seguente:

      REG ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters\ /v AllowEncryptionOracle /t REG_DWORD /d 2
      

Scenario 2: i client non aggiornati non possono comunicare con i server con patch applicata

Se l'aggiornamento è installato nella macchina virtuale di Azure Windows ed è limitato alla ricezione di client non aggiornati, per modificare l'impostazione del criterio di Correzione crittografia Oracle attenersi alla seguente procedura:

1. Nei computer con sistema operativo Windows in cui è installato PowerShell, aggiungere l'IP della macchina virtuale all'elenco "attendibile" nel file host:

   Set-item wsman:\localhost\Client\TrustedHosts -value <IP>
   

2. Andare nel portale di Azure, individuare la macchina virtuale e quindi aggiornare il Gruppo di sicurezza di rete per consentire il traffico allee porte PowerShell 5985 e 5986.

3. Nel computer con sistema operativo Windows connettersi alla macchina virtuale utilizzando PowerShell:

   Per HTTP:

   $Skip = New-PSSessionOption -SkipCACheck -SkipCNCheck Enter-PSSession -ComputerName "<<Public IP>>" -port "5985" -Credential (Get-Credential) -SessionOption $Skip
   

   Per HTTPS:

   $Skip = New-PSSessionOption -SkipCACheck -SkipCNCheck Enter-PSSession -ComputerName "<<Public IP>>" -port "5986" -Credential (Get-Credential) -useSSL -SessionOption $Skip
   

4. Per modificare l'impostazione del criterio Correzione crittografia Oracle eseguire il seguente comando utilizzando il Registro di sistema:

   Set-ItemProperty -Path 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters' -name "AllowEncryptionOracle" 2 -Type DWord
   

Script della console seriale di Azure

Script di PowerShell in remoto

Contattaci per ricevere assistenza

In caso di domande o bisogno di assistenza, creare una richiesta di supporto tecnico oppure formula una domanda nel Supporto della community di Azure. È possibile anche inviare un feedback sul prodotto al feedback della community di Azure.