Avviso di sicurezza Microsoft: aggiornamento per migliorare la protezione e la gestione delle credenziali: 13 maggio 2014

INTRODUZIONE

Microsoft ha rilasciato un avviso di sicurezza Microsoft su questo problema per i professionisti IT. L'avviso di sicurezza contiene informazioni aggiuntive correlate alla sicurezza. Per visualizzare l'avviso di sicurezza, vai al sito Web Microsoft seguente:

https://technet.microsoft.com/security/advisory/2871997 Importante Oltre all'aggiornamento 2871997, sono stati rilasciati molti altri aggiornamenti che contribuiscono a migliorare la protezione delle credenziali. Leggere attentamente questo articolo per comprendere l'intero set di aggiornamenti disponibili.

Domande frequenti sugli aggiornamenti

Questo aggiornamento contiene ulteriori modifiche alla funzionalità correlate alla sicurezza?
Oltre alle modifiche elencate per le vulnerabilità descritte in questo bollettino, questo aggiornamento include aggiornamenti approfonditi per migliorare la protezione delle credenziali e i controlli di autenticazione del dominio per ridurre il furto di credenziali. Per altre informazioni, vedi l'avviso di sicurezza Microsoft 2871997.

Altre informazioni

Questo aggiornamento introduce un'impostazione del Registro di sistema TokenLeakDetectDelaySecs

ImportanteQuesta sezione, metodo o attività contiene i passaggi che indicano come modificare il Registro di sistema. Tuttavia, la modifica non corretta del Registro di sistema può causare problemi gravi. Assicurarsi, quindi, di seguire attentamente tutti i passaggi. Per una maggiore sicurezza, eseguire un backup del Registro di sistema prima di modificarlo, in modo che sia possibile ripristinarlo in caso di problemi. Per altre informazioni su come eseguire il backup e il ripristino del Registro di sistema, fare clic sul numero dell'articolo seguente per visualizzare l'articolo della Microsoft Knowledge Base:

322756 Come eseguire il backup e il ripristino del Registro di sistema in Windows
Dopo aver installato questo aggiornamento della sicurezza, l'impostazione predefinita per gli utenti non protetti in Windows 7 e Windows 8 è non forzare la cancellazione delle credenziali della sessione di accesso persa. Per ignorare questo valore predefinito, è possibile aggiungere il seguente dword del Registro di sistema e impostarlo su un valore consigliato di 30 secondi.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Verrà attivata la cancellazione delle credenziali degli utenti disconnessi dopo 30 secondi, indipendentemente dal fatto che vi sia ancora un riferimento. Corrisponde al comportamento predefinito per Windows 8.1 e Windows 10.

Comportamento predefinito dopo l'applicazione dell'aggiornamento della sicurezza 3126593 (MS16-014)

Dopo aver installato l'aggiornamento della sicurezza 3126593, l'impostazione predefinita consiste nel forzare la cancellazione delle credenziali per tutti gli utenti. Per ripristinare il comportamento legacy precedente, impostare la voce TokenLeakDetectDelaySecs su 0. In questo modo viene disabilitata la cancellazione delle credenziali degli utenti disconnessi non protetti, purché rimanga un riferimento.

Revisioni

Il 14 ottobre 2014 Microsoft ha rilasciato gli aggiornamenti seguenti per aggiungere una modalità di Amministrazione con restrizioni per Connessione Desktop remoto e Remote Desktop Protocol:

2984972 per le edizioni supportate di Windows 7 e Windows Server 2008 R2

2984976 per le edizioni supportate di Windows 7 e Windows Server 2008 R2 in cui è installato l'aggiornamento 2592687 (aggiornamento Remote Desktop Protocol 8.0). I clienti che installano 2984976 di aggiornamento devono installare anche l'aggiornamento 2984972 .

2984981 per le edizioni supportate di Windows 7 e Windows Server 2008 R2 in cui è installato l'aggiornamento 2830477 (aggiornamento client Connessione Desktop remoto 8.1). I clienti che installano 2984981 di aggiornamento devono installare anche l'aggiornamento 2984972 .

2973501 per le edizioni supportate di Windows 8, Windows Server 2012 e Windows RT.
Nota Le edizioni supportate di Windows 8.1, Windows Server 2012 R2 e Windows RT 8.1 includono già questa funzionalità e non richiedono questo aggiornamento.

Il 9 settembre 2014 Microsoft ha rilasciato quanto segue:

2982378 avviso di sicurezza Microsoft: aggiornamento per migliorare la protezione e la gestione delle credenziali per Windows 7 e Windows Server 2008 R2: 9 settembre 2014 L'8 luglio 2014 Microsoft ha rilasciato quanto segue:

2973351 avviso di sicurezza Microsoft: aggiornamento del Registro di sistema per migliorare la protezione e la gestione delle credenziali per i sistemi basati su Windows in cui è installato l'aggiornamento 2919355: 8 luglio 2014

2975625 avviso di sicurezza Microsoft: aggiornamento del Registro di sistema per migliorare la protezione e la gestione delle credenziali per i sistemi Windows in cui non è installato l'aggiornamento 2919355: 8 luglio 2014 Questo aggiornamento fornisce impostazioni del Registro di sistema configurabili per la gestione della modalità di Amministrazione con restrizioni per il provider di supporto per la sicurezza delle credenziali (CredSSP).

Nota L'aggiornamento modifica la funzionalità predefinita modalità con restrizioni Amministrazione in Windows 8.1, Windows Server 2012 R2 e Windows RT 8.1. Per ulteriori informazioni, vedi la sezione domande frequenti dell'avviso. I file seguenti sono disponibili per il download dall'Area download Microsoft.

Nota Utilizzare la tabella seguente per determinare quali aggiornamenti sono appropriati per il sistema.

Impostazioni WDigest

Dopo aver installato questo aggiornamento della sicurezza, puoi controllare come salvare le credenziali WDigest installate usando un'impostazione del Registro di sistema. Per impedire che le credenziali WDigest vengano archiviate in memoria, è possibile applicare un'impostazione di Criteri di gruppo alla voce del Registro di sistema UseLogonCredential nella sottochiave seguente:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Se il valore UseLogonCredential è impostato su 0, WDigest non archivierà le credenziali in memoria.
• Se il valore UseLogonCredential è impostato su 1, WDigest archivierà le credenziali in memoria.

Dopo aver installato questo aggiornamento della sicurezza, l'impostazione predefinita per questo valore è 1 in Windows 7, Windows Server 2008 R2, Windows 8 e Windows Server 2012. È possibile usare la soluzione "easy fix" di questo articolo per modificare questa impostazione su 0. In questo modo le password WDigest non verranno archiviate in memoria.

Nota Per impostazione predefinita in Windows 8.1 e Windows Server 2012 R2 e versioni successive, la memorizzazione nella cache delle credenziali nella memoria per WDigest viene disabilitata (il valore UseLogonCredential predefinito è 0 quando la voce del Registro di sistema non è presente).

La modifica osservata nel comportamento quando il valore UseLogonCredential è impostato su 0 è che si può notare che le credenziali sono richieste più frequentemente quando si usa WDigest.

Ecco una soluzione semplice

Questa soluzione di risoluzione rapida dei problemi modifica la chiave del Registro di sistema UseLogonCredential per disabilitare la memorizzazione delle password WDigest nella memoria. Dopo aver installato l'aggiornamento della sicurezza 2871997 e aver applicato questa soluzione per la risoluzione rapida dei problemi ai sistemi che eseguono Windows 7, Windows Server 2008 R2, Windows 8 o Windows Server 2012, le credenziali di base (cancella testo) non dovrebbero più essere archiviate nella memoria.

Nota Devi avere installato l'aggiornamento della sicurezza 2871997 prima di poter usare questa soluzione di risoluzione rapida dei problemi.

Per abilitare questa soluzione di risoluzione rapida dei problemi, fai clic sul pulsante Scarica . Nella finestra di dialogo Download del file fare clic su Esegui o Apri e quindi seguire i passaggi della procedura guidata per la risoluzione rapida dei problemi.

• Questa procedura guidata potrebbe essere disponibile solo in inglese. Tuttavia, la correzione automatica funziona anche per altre versioni in lingua di Windows.
• Se il problema persiste, salva la soluzione per la risoluzione rapida dei problemi in un'unità flash o un CD e quindi eseguila nel computer in cui si è verificato il problema.

Disabilitare l'archiviazione in memoria delle password WDigest

Area download Microsoft

Puoi ottenere il pacchetto di aggiornamento autonomo tramite l'Area download Microsoft. Segui le istruzioni di installazione nella pagina di download per installare l'aggiornamento.

Fare clic sul collegamento per il download nella tabella seguente che corrisponde alla versione di Windows in esecuzione. Scoprire se nel computer è in esecuzione la versione a 32 o a 64 bit di Windows

Per tutte le versioni supportate basate su x86 di Windows 7 subito il pacchetto.

Per tutte le versioni supportate basate su x64 di Windows 7 il pacchetto ora.

Per tutte le versioni supportate basate su x86 di Windows Embedded Standard 7 il pacchetto ora.

Per tutte le versioni supportate basate su x64 di Windows Embedded Standard 7 il pacchetto ora.

Per tutte le versioni supportate basate su x64 di Windows Server 2008 R2 scarica il pacchetto ora.

Per tutte le versioni supportate basate su IA-64 di Windows Server 2008 R2 il pacchetto ora.

Per tutte le versioni supportate basate su x86 di Windows 8 il pacchetto ora.

Per tutte le versioni supportate basate su x64 di Windows 8 il pacchetto ora.

Per tutte le versioni supportate basate su x64 di Windows Server 2012 il pacchetto ora.

Data di rilascio: 9 settembre 2014

Per altre informazioni su come scaricare i file di supporto Microsoft, fare clic sul numero dell'articolo seguente per visualizzare l'articolo della Microsoft Knowledge Base:

119591 Come ottenere i file di supporto Microsoft da Servizi online microsoft ha analizzato il file alla ricerca di virus. Microsoft ha usato il software di rilevamento dei virus più recente disponibile alla data di pubblicazione del file. Il file viene archiviato in server di sicurezza avanzati che impediscono modifiche non autorizzate al file.

INFORMAZIONI SUI FILE

La versione inglese (Stati Uniti) di questo aggiornamento software consente di installare i file con gli attributi elencati nelle tabelle seguenti. I valori di data e ora per questi file sono riportati in formato Coordinated Universal Time (UTC). Le date e le ore di questi file nel computer locale vengono visualizzate nell'ora locale e con la differenza dell'ora legale corrente. Inoltre, data e ora possono cambiare quando si eseguono determinate operazioni sui file.

Informazioni sui file di Windows 7 e Windows Server 2008 R2

• I file che si applicano a un prodotto specifico, un'attività cardine (RTM, SPn) e un ramo di servizio (LDR, GDR) possono essere identificati esaminando i numeri di versione del file, come illustrato nella tabella seguente:

  Versione	Prodotto	Pietra miliare	Ramo del servizio
  6.1.760 1. 18 xxx	Windows 7 e Windows Server 2008 R2	SP1	GDR
  6.1.760 1. 22 xxx	Windows 7 e Windows Server 2008 R2	SP1	LDR

• I rami del servizio GDR contengono solo le correzioni ampiamente rilasciate per risolvere problemi critici e diffusi. I rami del servizio LDR contengono aggiornamenti rapidi oltre a correzioni ampiamente rilasciate.

Nota I file MANIFEST (manifest) e MUM (.mum) installati non sono elencati.

Per tutte le versioni supportate basate su x86 di Windows 7

Per tutte le versioni supportate basate su x64 di Windows 7 e Windows Server 2008 R2

Per tutte le versioni supportate basate su IA-64 di Windows Server 2008 R2