現象
11 月Windows 10更新プログラムをデバイスに適用した後、サーバー側または相互認証 (EAP TLS、PEAP、TTLS) に証明書を使用している WPA-2 Enterprise ネットワークに接続することはできません。
原因
Windows 10 11 月の更新では、TLS 1.2 をサポートするように EAP が更新されました。 これは、サーバーが TLS ネゴシエーション中に TLS 1.2 のサポートをアドバタイズする場合、TLS 1.2 が使用されることを意味します。
一部の Radius サーバー実装では TLS 1.2 のバグが発生するという報告があります。 このバグ シナリオでは、EAP 認証は成功しますが、誤った PRF (擬似ランダム関数) が使用されているため、MPPE キーの計算は失敗します。
影響を受けることがわかっている Radius サーバー
注 この情報は、調査レポートとパートナー レポートに基づいています。 より多くのデータを取得するにつれて、詳細を追加します。
| サーバー | 追加情報 | 利用可能な修正プログラム |
|---|---|---|
| FreeRADIUS 2.x | すべての TLS ベースのメソッドの場合は 2.2.6、TTLS の場合は 2.2.6 から 2.2.8 | ○ |
| FreeRADIUS 3.x | すべての TLS ベースのメソッドの場合は 3.0.7、TTLS の場合は 3.0.7-3.0.9 | はい |
| ラジエーター | 4.14 Net::SSLeay 1.52 以前で使用する場合 | はい |
| Aruba ClearPass Policy Manager | 6.5.1 | ○ |
| Pulse Policy Secure | https://kb.pulsesecure.net/articles/Pulse_Secure_Article/KB40089 | テスト中の修正 |
| Cisco Identify Services Engine 2.x | 2.0.0.306 パッチ 1 | テスト中の修正 |
解決策
推奨される修正
IT 管理者と協力して、修正プログラムを含む適切なバージョンに Radius サーバーを更新します。
11 月の更新プログラムを適用した Windows ベースのコンピューターの一時的な回避策
注 Microsoft では、サポートされている場所を問わず、EAP 認証に TLS 1.2 を使用することをお勧めします。 TLS 1.0 のすべての既知の問題にはパッチが用意されていますが、TLS 1.0 は脆弱であることが証明されている古い標準であることを認識しています。
EAP が既定で使用する TLS バージョンを構成するには、TlsVersion という名前の DWORD 値を次のレジストリ サブキーに追加する必要があります。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
このレジストリ キーの値は、0xC0、0x300、または0xC00できます。
メモ
- このレジストリ キーは、EAP TLS と PEAP にのみ適用されます。TTLS 動作には影響しません。
- 一般的に構成された TLS バージョンが存在しないように EAP クライアントと EAP サーバーが正しく構成されていない場合、認証は失敗し、ユーザーはネットワーク接続を失う可能性があります。 そのため、IT 管理者のみがこれらの設定を適用し、デプロイ前に設定をテストすることをお勧めします。 ただし、サーバーが対応する TLS バージョンをサポートしている場合、ユーザーは TLS バージョン番号を手動で構成できます。
重要: このセクション、メソッド、またはタスクには、レジストリの変更方法が記載されています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法
これらのレジストリ値を追加するには、次の手順に従います。
[スタート]、[ファイル名を指定して実行] の順にクリックし、[名前] ボックスに「regedit」と入力し、[OK] をクリックします。
目的のレジストリを見つけたら、次のレジストリ サブキーをクリックします:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
[編集] メニューの [新規] をポイントし、[DWORD 値] をクリックします。
DWORD 値の名前に「TlsVersion」と入力し、Enter キーを押します。
[TlsVersion] を右クリックし、[変更] をクリックします。
[値データ] ボックスで、さまざまなバージョンの TLS に対して次の値を使用し、[OK] をクリックします。
TLS バージョン DWORD 値 TLS 1.0 0xC0 TLS 1.1 0x300 TLS 1.2 0xC00 レジストリ エディターを終了し、コンピューターを再起動するか、EapHost サービスを再起動します。
追加情報
関連ドキュメント:
Microsoft セキュリティ アドバイザリ: TLS の使用を可能にする Microsoft EAP 実装の更新プログラム: 2014 年 10 月 14 日
https://support.microsoft.com/en-us/kb/2977292