現象
Windows 10 November の更新プログラムをデバイスに適用した後、サーバー側認証または相互認証 (EAP TLS、PEAP、TTLS) に証明書を使用している WPA-2 エンタープライズ ネットワークに接続できません。
原因
Windows 10 の 11 月の更新プログラムで、EAP が更新され、TLS 1.2 がサポートされました。 これは、サーバーが TLS ネゴシエーション中に TLS 1.2 のサポートをアドバタイズする場合、TLS 1.2 が使用されることを意味します。
一部の Radius サーバー実装で TLS 1.2 でバグが発生するという報告があります。 このバグ シナリオでは、EAP 認証は成功しますが、間違った PRF (擬似ランダム関数) が使用されているため、MPPE キーの計算は失敗します。
影響を受けることがわかっている RADIUS サーバー
注: この情報は、調査およびパートナー レポートに基づいています。 詳細は、より多くのデータが増え次第追加していきます。
| サーバー | 追加情報 | 利用可能な修正プログラム |
|---|---|---|
| FreeRADIUS 2.x | すべての TLS ベースのメソッドの場合は 2.2.6、TTLS の場合は 2.2.6 - 2.2.8 | ○ |
| FreeRADIUS 3.x | すべての TLS ベースのメソッドの場合は 3.0.7、TTLS の場合は 3.0.7-3.0.9 | はい |
| ラジエーター | 4.14 (Net::SSLeay 1.52 以前で使用する場合) | はい |
| Aruba ClearPass Policy Manager | 6.5.1 | ○ |
| Pulse ポリシーのセキュリティ保護 | https://kb.pulsesecure.net/articles/Pulse_Secure_Article/KB40089 | テスト中の修正 |
| Cisco Identify Services Engine 2.x | 2.0.0.306 パッチ 1 | テスト中の修正 |
解決策
推奨される修正
IT 管理者と協力して、修正プログラムを含む適切なバージョンに Radius サーバーを更新します。
11 月の更新プログラムを適用した Windows ベースのコンピューターの一時的な回避策
注: Microsoft では、サポートされている場所で EAP 認証に TLS 1.2 を使用することをお勧めします。 TLS 1.0 のすべての既知の問題には利用可能なパッチがありますが、TLS 1.0 は脆弱であることが証明されている古い標準であることを認識しています。
EAP が既定で使用する TLS バージョンを構成するには、次のレジストリ サブキーに TlsVersion という名前の DWORD 値を追加する必要があります。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
このレジストリ キーの値には、0xC0、0x300、または 0xC00 を指定できます。
メモ
- このレジストリ キーは、EAP TLS と PEAP にのみ適用されます。TTLS の動作には影響しません。
- EAP クライアントと EAP サーバーが正しく構成されていないために、共通で構成された TLS バージョンが存在しない場合、認証に失敗し、ユーザーはネットワーク接続を失う可能性があります。 そのため、これらの設定は IT 管理者のみが適用し、展開前に設定をテストすることをお勧めします。 ただし、サーバーが対応する TLS バージョンをサポートしている場合は、ユーザーは TLS バージョン番号を手動で構成できます。
重要: このセクション、メソッド、またはタスクには、レジストリの変更方法が記載されています。 ただし、レジストリを誤って変更すると、深刻な問題が発生する可能性があります。 そのため、この手順は必ず慎重に行ってください。 さらなる保護のため、レジストリは変更する前にバックアップしてください。 こうしておけば、問題が発生した場合にレジストリを復元できます。 レジストリのバックアップ方法および復元方法の詳細を参照するには、以下のサポート技術情報番号をクリックしてください。
322756 Windows でレジストリをバックアップおよび復元する方法
これらのレジストリ値を追加するには、次の手順を実行します。
[スタート]、[ファイル名を指定して実行] の順にクリックし、[名前] ボックスに「regedit」と入力し、[OK] をクリックします。
目的のレジストリを見つけたら、次のレジストリ サブキーをクリックします:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
[編集] メニューの [新規] をポイントし、[DWORD 値] をクリックします。
DWORD 値の名前に「TlsVersion」と入力し、Enter キーを押します。
[TlsVersion] を右クリックし、[変更] をクリックします。
[値のデータ] ボックスで、さまざまなバージョンの TLS に次の値を使用し、[OK] をクリックします。
TLS バージョン DWORD 値 TLS 1.0 0xC0 TLS 1.1 0x300 TLS 1.2 0xC00 レジストリ エディターを終了し、コンピューターを再起動するか、EapHost サービスを再起動します。
追加情報
関連ドキュメント:
マイクロソフト セキュリティ アドバイザリ: TLS の使用を有効にする Microsoft EAP 実装の更新プログラム: 2014 年 10 月 14 日
https://support.microsoft.com/en-us/kb/2977292