Registro delle modifiche
Modifica 1: 19 giugno 2023:
|
|---|
Contenuto dell'articolo
- Riepilogo
- Individuazione dei tipi di crittografia della chiave di sessione impostati in modo esplicito
- Impostazioni della chiave del Registro di sistema
- Eventi di Windows correlati a CVE-2022-37966
- Domande frequenti e problemi noti
- Glossario
Riepilogo
Gli aggiornamenti di Windows rilasciati a partire dall'8 novembre 2022 risolvono il bypass di sicurezza e l'elevazione della vulnerabilità dei privilegi con negoziazione dell'autenticazione usando una negoziazione RC4-HMAC debole.
Questo aggiornamento imposterà AES come tipo di crittografia predefinito per le chiavi di sessione negli account che non sono già contrassegnati con un tipo di crittografia predefinito.
Per proteggere l'ambiente, installare gli aggiornamenti di Windows rilasciati a partire dall'8 novembre 2022 in tutti i dispositivi, inclusi i controller di dominio. Vedere Cambiamento 1.
Per ulteriori informazioni su queste vulnerabilità, vedere CVE-2022-37966.
Individuazione dei tipi di crittografia della chiave di sessione impostati in modo esplicito
È possibile che negli account utente siano stati definiti esplicitamente tipi di crittografia vulnerabili a CVE-2022-37966. Cerca gli account in cui DES / RC4 è abilitato in modo esplicito ma non AES usando la seguente query Active Directory:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Impostazioni della chiave del Registro di sistema
Dopo l'installazione degli aggiornamenti di Windows datati l'8 novembre 2022 o successivi, è disponibile la seguente chiave del Registro di sistema per il protocollo Kerberos:
DefaultDomainSupportedEncTypes
| Chiave del Registro di sistema | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| valore | DefaultDomainSupportedEncTypes |
| Tipo di dati | REG_DWORD |
| Valore dei dati | 0x27 (impostazione predefinita) |
| È necessario riavviare il computer? | No |
Avvertenza Se è necessario modificare il tipo di crittografia supportato predefinito per un utente o un computer di Active Directory, aggiungere e configurare manualmente la chiave del Registro di sistema per impostare il nuovo tipo di crittografia supportato. Questo aggiornamento non aggiunge automaticamente la chiave del Registro di sistema.
I controller di dominio Windows usano questo valore per determinare i tipi di crittografia supportati per gli account in Active Directory il cui valore msds-SupportedEncryptionType è vuoto o non impostato. Un computer che esegue una versione supportata del sistema operativo Windows imposta automaticamente i tipi di crittografia supportati da msds per l'account del computer in Active Directory. Ciò si basa sul valore configurato dei tipi di crittografia che il protocollo Kerberos è autorizzato a utilizzare. Per altre informazioni, vedere Sicurezza di rete: configurare i tipi di crittografia consentiti per Kerberos.
Il valore msds-SupportedEncryptionTypes degli account utente, degli account del servizio gestito di gruppo e di altri account in Active Directory non è impostato automaticamente.
Per trovare i tipi di crittografia supportati che è possibile impostare manualmente, fare riferimento a Flag di bit dei tipi di crittografia supportati. Per altre informazioni, vedere le operazioni da eseguire per preparare l'ambiente ed evitare problemi di autenticazione Kerberos.
Il valore predefinito 0x27 (DES, RC4, chiavi di sessione AES) è stato scelto come modifica minima necessaria per questo aggiornamento della sicurezza. È consigliabile che i clienti impostino il valore su 0x3C per una maggiore sicurezza , in quanto questo valore consentirà sia i ticket crittografati con AES che le chiavi di sessione AES. Se i clienti hanno seguito le indicazioni per passare a un ambiente solo AES in cui RC4 non viene usato per il protocollo Kerberos, è consigliabile impostare il valore su 0x38. Vedere Cambiamento 1.
Eventi di Windows correlati a CVE-2022-37966
Il centro di distribuzione delle chiavi Kerberos non dispone di chiavi complesse per l'account
| Registro eventi | Sistema |
|---|---|
| Tipo di evento | Errore |
| Origine evento | Kdcsvc |
| ID evento | 42 |
| Testo dell'evento | Il centro di distribuzione delle chiavi Kerberos non dispone di chiavi complesse per account: accountname. È necessario aggiornare la password di questo account per impedire l'uso di crittografia non sicura. Vedi https://go.microsoft.com/fwlink/?linkid=2210019 per saperne di più. |
Se trovi questo errore, probabilmente devi reimpostare la password krbtgt prima di impostare KrbtgtFullPacSingature = 3 o installare gli Aggiornamenti di Windows rilasciati a partire dall'11 luglio 2023. L'aggiornamento che abilita a livello di programmazione la modalità di applicazione per CVE-2022-37967 è documentato nel seguente articolo della Microsoft Knowledge Base:
KB5020805: Come gestire le modifiche al protocollo Kerberos relative a CVE-2022-37967
Per altre informazioni su come eseguire questa operazione, vedere l'argomentoNew-KrbtgtKeys.ps1 sul sito Web GitHub.
Domande frequenti e problemi noti
In quali circostanze l'ambiente è vulnerabile?
Gli account contrassegnati per l'uso esplicito di RC4 sono vulnerabili. Inoltre, gli ambienti che non dispongono di chiavi di sessione AES all'interno dell'account krbgt possono essere vulnerabili. Per attenuare questo problema, segui le indicazioni su come identificare le vulnerabilità e usa la sezione Impostazione chiave del Registro di sistema per aggiornare le impostazioni predefinite di crittografia impostate in modo esplicito.
Cosa devo fare prima per preparare l'ambiente ed evitare problemi di autenticazione Kerberos dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022 nei controller di dominio?
Sarà necessario verificare che tutti i dispositivi abbiano un tipo di crittografia Kerberos comune. Per ulteriori informazioni sui tipi di crittografia Kerberos, vedere Decrittografia della selezione dei tipi di crittografia Kerberos supportati.
Gli ambienti senza un tipo di crittografia Kerberos comune potrebbero essere stati precedentemente funzionanti a causa dell'aggiunta automatica di RC4 o dell'aggiunta di AES, se RC4 è stato disabilitato tramite Criteri di gruppo dai controller di dominio. Questo comportamento è cambiato con gli aggiornamenti rilasciati a partire dall'8 novembre 2022 e ora seguirà rigorosamente quanto impostato nelle chiavi del Registro di sistema, msds-SupportedEncryptionTypes e DefaultDomainSupportedEncTypes.
Se l'account non ha msds-SupportedEncryptionTypes impostato o è impostato su 0, i controller di dominio presuppongono un valore predefinito di 0x27 (39) oppure il controller di dominio userà l'impostazione nella chiave del Registro di sistema DefaultDomainSupportedEncTypes.
Se per l'account è impostato msds-SupportedEncryptionTypes , questa impostazione viene rispettata e potrebbe esporre un errore di configurazione di un tipo di crittografia Kerberos comune mascherato dal comportamento precedente di aggiunta automatica di RC4 o AES, che non è più il comportamento dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022.
Per informazioni su come verificare di avere un tipo di crittografia Kerberos comune, vedere la domanda Come è possibile verificare che tutti i dispositivi abbiano un tipo di crittografia Kerberos comune?
Come è possibile verificare che tutti i dispositivi abbiano un tipo di crittografia Kerberos comune?
Vedi la domanda precedente per altre informazioni sul motivo per cui i dispositivi potrebbero non avere un tipo di crittografia Kerberos comune dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022.
Se hai già installato gli aggiornamenti rilasciati a partire dall'8 novembre 2022, puoi rilevare i dispositivi che non hanno un tipo di crittografia Kerberos comune cercando nel registro eventi l'evento 27 di Microsoft-Windows-Kerberos-Key-Distribution-Center, che identifica i tipi di crittografia disgiunti tra client Kerberos e server o servizi remoti.
Dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022, si verificano problemi di autenticazione Kerberos nell'ambiente. È necessario risolvere questi problemi nei dispositivi client Windows o nei server Windows che non eseguono il ruolo controller di dominio?
L'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022 nei client o nei server ruolo controller non di dominio non deve influire sull'autenticazione Kerberos nell'ambiente.
Dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022 nei controller di dominio, si verifica una perdita di memoria con il servizio Local Security Authority Subsystem (LSASS.exe). Cosa posso fare?
Per attenuare questo problema noto, apri una finestra del prompt dei comandi come amministratore e usa temporaneamente il comando seguente per impostare la chiave del Registro di sistema KrbtgtFullPacSignature su 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Nota
Avvertenza Una volta risolto questo problema noto, dovresti impostare KrbtgtFullPacSignature su un'impostazione più alta a seconda di ciò che il tuo ambiente consentirà. È consigliabile abilitare la modalità di imposizione non appena l'ambiente è pronto.
Passaggi successivi È in fase di elaborazione una soluzione e verrà fornito un aggiornamento con un rilascio imminente.
Perché si verificano errori di autenticazione Kerberos con dispositivi non Windows nell'ambiente?
Dopo aver installato gli aggiornamenti rilasciati a partire dall'8 novembre 2022 sui controller di dominio, tutti i dispositivi devono supportare la firma dei ticket AES come richiesto per essere conformi alla protezione avanzata richiesta per CVE-2022-37967.
Passaggi successivi Se stai già eseguendo il software e il firmware più aggiornati per i tuoi dispositivi non Windows e hai verificato che sia disponibile un tipo di crittografia comune tra i controller di dominio Windows e i tuoi dispositivi non Windows, dovrai contattare il produttore del dispositivo (OEM) per ricevere assistenza oppure sostituire i dispositivi con dispositivi conformi.
Nota
CONSIGLI Non è consigliabile usare alcuna soluzione alternativa per consentire l'autenticazione dei dispositivi non conformi, poiché ciò potrebbe rendere vulnerabile l'ambiente.
I dispositivi che eseguono una versione non supportata di Windows non possono più accedere alle risorse dell'ambiente. Inoltre, non è possibile accedere a questi dispositivi dai dispositivi Windows aggiornati nell'ambiente. Cosa posso fare?
Le versioni non supportate di Windows includono Windows XP, Windows Server 2003, Windows Server 2008 SP2 e Windows Server 2008 R2 SP1 I dispositivi Windows aggiornati non sono accessibili a meno che non si disponga di una licenza ESU. Se si dispone di una licenza ESU, sarà necessario installare gli aggiornamenti rilasciati a partire dall'8 novembre 2022 e verificare che la configurazione disponga di un tipo di crittografia comune tra tutti i dispositivi.
Passaggi successivi Installare gli aggiornamenti se sono disponibili per la versione di Windows in uso e si dispone della licenza ESU applicabile. Se gli aggiornamenti non sono disponibili, dovrai eseguire l'aggiornamento a una versione supportata di Windows o spostare un'applicazione o un servizio in un dispositivo conforme.
Nota
CONSIGLI Non è consigliabile usare alcuna soluzione alternativa per consentire l'autenticazione dei dispositivi non conformi, poiché ciò potrebbe rendere vulnerabile l'ambiente.
Tutti i miei dispositivi hanno un tipo di crittografia comune e sono configurati per utilizzare solo AES. Perché visualizzo ancora errori di autenticazione Kerberos dopo aver installato l'aggiornamento dell'8 novembre 2022 in particolare?
Questo problema noto è stato risolto negli aggiornamenti fuori banda rilasciati il 17 novembre 2022 e il 18 novembre 2022 per l'installazione in tutti i controller di dominio nell'ambiente in uso. Per risolvere il problema, non è necessario installare alcun aggiornamento o apportare modifiche ad altri server o dispositivi client nell'ambiente. Se hai usato soluzioni alternative o mitigazioni per questo problema, non sono più necessarie e ti consigliamo di rimuoverle.
Per ottenere il pacchetto autonomo per questi aggiornamenti fuori banda, cercare il numero KB nel Catalogo di Microsoft Update. È possibile importare manualmente gli aggiornamenti in Windows Server Update Services (WSUS) e Microsoft Endpoint Configuration Manager. Per istruzioni su WSUS, vedere WSUS e il sito del catalogo. Per istruzioni su Configuration Manger, vedere Importare gli aggiornamenti dal Catalogo di Microsoft Update.
Nota
Avvertenza Gli aggiornamenti seguenti non sono disponibili da Windows Update e non verranno installati automaticamente.
Aggiornamenti cumulativi:
Nota
Avvertenza Non è necessario applicare alcun aggiornamento precedente prima di installare questi aggiornamenti cumulativi. Se hai già installato gli aggiornamenti rilasciati l'8 novembre 2022, non devi disinstallare gli aggiornamenti interessati prima di installare gli aggiornamenti successivi, inclusi gli aggiornamenti elencati in precedenza.
Aggiornamenti autonomi:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (rilasciato il 18 novembre 2022)
- Windows Server 2008 SP2: KB5021657
Nota
Note
- Se usi gli aggiornamenti di sola sicurezza per queste versioni di Windows Server, devi installare questi aggiornamenti autonomi solo per il mese di novembre 2022. Gli aggiornamenti solo della sicurezza non sono cumulativi e dovrai anche installare tutti gli aggiornamenti precedenti solo della sicurezza per essere completamente aggiornato. Gli aggiornamenti cumulativi mensili sono cumulativi e includono la sicurezza e tutti gli aggiornamenti della qualità.
- Se usi gli aggiornamenti cumulativi mensili, dovrai installare entrambi gli aggiornamenti autonomi elencati sopra per risolvere il problema e installare gli aggiornamenti cumulativi mensili rilasciati l'8 novembre 2022 per ricevere gli aggiornamenti qualitativi per novembre 2022. Se hai già installato gli aggiornamenti rilasciati l'8 novembre 2022, non devi disinstallare gli aggiornamenti interessati prima di installare gli aggiornamenti successivi, inclusi gli aggiornamenti elencati in precedenza.
Sto usando un'applicazione sui miei dispositivi Windows che usa un'implementazione non Microsoft di Kerberos e sto riscontrando problemi di autenticazione Kerberos. Cosa posso fare?
Se la configurazione dell'ambiente è stata verificata e si verificano ancora problemi con qualsiasi implementazione di Kerberos non Microsoft, saranno necessari aggiornamenti o il supporto dello sviluppatore o del produttore dell'app o del dispositivo.
MSDS-SupportedEncryptionTypes è impostato in Active Directory per tutti gli account configurati come diversi da zero senza alcun bit del tipo di crittografia impostato (5 bit meno significativi), ma si verificano errori di autenticazione dopo l'installazione degli aggiornamenti rilasciati a partire dall'8 novembre 2022 nei controller di dominio. Cosa posso fare?
Questo problema noto può essere attenuato eseguendo una delle operazioni seguenti:
Impostare msds-SupportedEncryptionTypes con bit per bit o impostarlo sul 0x27 predefinito corrente per mantenere il relativo valore corrente. Ad esempio:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Impostare msds-SupportEncryptionTypes su 0 per consentire ai controller di dominio di usare il valore predefinito di 0x27.
Passaggi successivi È in fase di elaborazione una soluzione e verrà fornito un aggiornamento con un rilascio imminente.
Glossario
Advanced Encryption Standard (AES)
Advanced Encryption Standard (AES) è una crittografia a blocchi che sostituisce lo Standard di crittografia dei dati (DES). AES può essere utilizzato per proteggere i dati elettronici. L'algoritmo AES può essere utilizzato per crittografare (cifrare) e decrittografare (decifrare) le informazioni. La crittografia converte i dati in una forma incomprensibile chiamata testo cifrato; La decrittografia del testo crittografato converte i dati nel loro formato originale, chiamato testo non crittografato. AES viene utilizzato nella crittografia a chiave simmetrica, ovvero la stessa chiave viene utilizzata per le operazioni di crittografia e decrittografia. È anche un cifrario a blocchi, il che significa che opera su blocchi di testo in chiaro e testo cifrato a dimensione fissa e richiede che la dimensione del testo non crittografato e del testo crittografato sia un multiplo esatto di questa dimensione del blocco. AES è anche noto come algoritmo di crittografia simmetrica di Rijndael [FIPS197].
Kerberos
Kerberos è un protocollo di autenticazione di rete di computer che funziona in base a "ticket" per consentire ai nodi che comunicano su una rete di dimostrare la propria identità l'uno all'altro in modo sicuro.
Centro distribuzione chiavi (KDC)
Servizio Kerberos che implementa i servizi di autenticazione e concessione ticket specificati nel protocollo Kerberos. Il servizio viene eseguito su computer selezionati dall'amministratore dell'area di autenticazione o del dominio. Non è presente in tutti i computer della rete. Deve avere accesso a un database di account per l'area di autenticazione che serve. I KDC sono integrati nel ruolo del controller di dominio . Si tratta di un servizio di rete che fornisce ticket ai client da utilizzare per l'autenticazione ai servizi.
RC4-HMAC
RC4-HMAC (RC4) è un algoritmo di crittografia simmetrica a chiave variabile. Per ulteriori informazioni, vedere la sezione 17.1 di [SCHNEIER ].
Chiave della sessione
Una chiave simmetrica di durata relativamente breve (una chiave crittografica negoziata dal client e dal server in base a un segreto condiviso). La durata delle chiavi di sessione è limitata dalla sessione a cui è associata. Una chiave di sessione deve essere abbastanza forte da resistere alla crittanalisi per tutta la durata della sessione.
Ticket di concessione ticket
Un tipo speciale di biglietto che può essere utilizzato per ottenere altri biglietti. Il ticket di concessione ticket (TGT) viene ottenuto dopo l'autenticazione iniziale nello scambio del servizio di autenticazione (AS); successivamente, gli utenti non devono presentare le proprie credenziali, ma possono utilizzare il TGT per ottenere i ticket successivi.