Active Directory 証明書サービスベースのシナリオの軽減計画

概要

特定のトラステッド プラットフォーム モジュール (TPM) チップセットにセキュリティの脆弱性が存在します。 この脆弱性はキーの強度を弱めます。

この脆弱性の詳細については、「 ADV170012」を参照してください。

追加情報

概要

次のセクションでは、 Microsoft セキュリティ アドバイザリ ADV170012で特定された脆弱性の影響を受けた Active Directory Certificate Services (AD CS) によって発行された証明書と要求を特定、軽減、修正するのに役立ちます。

軽減プロセスでは、脆弱性の影響を受ける発行済みの証明書を特定することに重点を置き、失効にも重点を置いています。

企業内で発行される x.509 証明書は、TPM KSP を指定するテンプレートに基づいていますか?

企業が TPM KSP を使用している場合、これらの証明書が使用されているシナリオは、セキュリティ アドバイザリで特定された脆弱性の影響を受ける可能性があります。

軽減策

1. デバイスで適切なファームウェア更新プログラムが利用可能になるまで、TPM KSP を使用してソフトウェア ベースの KSP を使用するように設定されている証明書テンプレートを更新します。 これにより、TPM KSP を使用し、脆弱な将来の証明書が作成されなくなります。 詳細については、この記事の「 ファームウェアの更新」 を参照してください。

2. 既に作成された証明書または要求の場合:

   1. 囲まれたスクリプトを使用して、脆弱な可能性がある発行済み証明書をすべて一覧表示します。 

      1. 前の手順で取得したシリアル番号の一覧を渡して、これらの証明書を取り消します。
      2. ソフトウェア KSP を指定するテンプレート構成に基づいて、新しい証明書の登録を強制します。
      3. 可能な限り新しい証明書を使用して、すべてのシナリオを再実行します。

   2. 囲まれたスクリプトを使用して、脆弱な可能性がある要求されたすべての証明書を一覧表示します。

      1. これらの証明書要求をすべて拒否します。

   3. 囲まれたスクリプトを使用して、期限切れの証明書をすべて一覧表示します。 データの暗号化を解除するために引き続き使用される暗号化された証明書ではないことを確認します。 有効期限が切れた証明書は暗号化されていますか?

      1. はいの場合は、ソフトウェア KSP を使用して作成された証明書に基づく新しいキーを使用して、データの暗号化が解除され、暗号化されていることを確認します。
      2. いいえの場合は、証明書を無視しても問題ありません。

   4. これらの失効した証明書が管理者によって誤って取り消されることを禁止するプロセスがあることを確認します。

新しい KDC 証明書が現在のベスト プラクティスを満たしていることを確認する

リスク: 他の多くのサーバーは、ドメイン コントローラーとドメイン コントローラー認証の検証条件を満たしている可能性があります。 これにより、既知の不正な KDC 攻撃ベクトルが発生する可能性があります。

修復

[RFC 4556] セクション 3.2.4 で指定されているように、すべてのドメイン コントローラーは KDC EKU を持つ証明書を発行する必要があります。 AD CS の場合は、Kerberos 認証テンプレートを使用し、発行された他の KDC 証明書よりも優先するように構成します。

詳細については、[RFC 4556] 付録 C で、Windows のさまざまな KDC 証明書テンプレートの履歴について説明します。

すべてのドメイン コントローラーに RFC 準拠の KDC 証明書がある場合、Windows Kerberos で厳密な KDC 検証を有効にすることで、Windows はそれ自体を保護できます。

メモ 既定では、新しい Kerberos 公開キー機能が必要になります。

失効した証明書がそれぞれのシナリオで失敗することを確認する

AD CS は、organizationのさまざまなシナリオで使用されます。 Wi-Fi、VPN、KDC、System Center Configuration Manager などにも使用できます。

organization内のすべてのシナリオを特定します。 失効した証明書がある場合、または失効したすべての証明書を有効なソフトウェア ベースの証明書に置き換え、シナリオが成功した場合は、これらのシナリオが失敗することを確認します。

OCSP または CRLS を使用している場合、有効期限が切れるとすぐに更新されます。 ただし、通常は、すべてのコンピューターでキャッシュされた CRL を更新する必要があります。 OCSP が CRL に依存している場合は、最新の CRL がすぐに取得されることを確認してください。

キャッシュが確実に削除されるようにするには、影響を受けるすべてのコンピューターで次のコマンドを実行します。

certutil -urlcache * delete

certutil –setreg chain\ChainCacheResyncFiletime @now

                 ファームウェアの更新

TPM の脆弱性を修正するために、OEM によってリリースされた更新プログラムをインストールします。 システムが更新されたら、TPM ベースの KSP を使用するように証明書テンプレートを更新できます。