現象
これらのデバイスでスマート カード (PIV) 認証を使用すると、印刷とスキャンが失敗する可能性があります。
注
注釈スマート カード (PIV) 認証の使用時に影響を受けるデバイスは、ユーザー名とパスワードの認証を使用する場合は期待どおりに動作します。
原因
2021 年 7 月 13 日、マイクロソフトは CVE-2021-33764 のセキュリティ強化変更をリリースしました。このため、2021 年 7 月 13 日以降のバージョンの更新プログラムをドメイン コントローラー (DC) にインストールすると、この問題が発生する可能性があります。 影響を受けるデバイスは、PKINIT Kerberos 認証中のキー交換用の Diffie-Hellman (DH) をサポートしていないか、Kerberos AS 要求中に des-ede3-cbc ("トリプル DES") のサポートをアドバタイズしない、プリンター、スキャナー、多機能デバイスを認証するスマート カードです。
RFC 4556 仕様のセクション 3.2.1 に従って、このキー交換を機能させるには、クライアントがキー配布センター (KDC) をサポートし、DES-EDE3-CBC (「トリプル DES」) のサポートを通知する必要があります。 暗号化モードのキー交換を使用して Kerberos PKINIT を開始するが、des-ede3-cbc (「トリプル DES」) をサポートしないことを KDC に伝えないクライアントは拒否されます。
プリンターおよびスキャナー クライアント デバイスが準拠するには、次のいずれかが必要です。
- PKINIT Kerberos 認証中のキー交換には Diffie-Hellman を使用します (推奨)。
- または、両方が KDC をサポートし、des-ede3-cbc (「トリプル DES」) のサポートを通知します。
次のステップ
印刷デバイスまたはスキャン デバイスでこの問題が発生した場合は、デバイスで使用可能な最新のファームウェアとドライバーを使用していることを確認します。 ファームウェアとドライバーが最新の状態で、問題が引き続き発生する場合は、デバイスの製造元に問い合わせることをお勧めします。 デバイスを CVE-2021-33764 のセキュリティ強化に変更するために構成の変更が必要かどうか、または準拠した更新プログラムが利用可能になるかどうかを確認します。
現在、CVE-2021-33764 に必要な RFC 4556 仕様のセクション 3.2.1 にデバイスを準拠させる方法がない場合は、以下のタイムライン内で印刷またはスキャン デバイスの製造元と協力して環境を準拠させる間、一時的な緩和策を利用できるようになりました。
注
重要 セキュリティ更新プログラムで一時的な軽減策を使用できなくなる 2022 年 7 月 12 日までに、非準拠デバイスを更新、準拠、または交換する必要があります。
重要な注意事項
このシナリオのすべての一時的な軽減策は、使用している Windows のバージョンに応じて、2022 年 7 月および 2022 年 8 月に削除されます (以下の表を参照)。 今後の更新プログラムでは、これ以上のフォールバック オプションはありません。 すべての非準拠デバイスは、2022 年 1 月から監査イベントを使用して識別し、2022 年 7 月下旬から軽減策の削除で更新または置き換える必要があります。
2022 年 7 月以降、RFC 4456 仕様と CVE-2021-33764 に準拠していないデバイスは、更新された Windows デバイスで使用できなくなります。
| 目標日 | イベント | 適用対象 |
|---|---|---|
| 2021 年 7 月 13 日 | CVE-2021-33764 の強化された変更を伴う Updates 以降のすべての更新プログラムでは、この強化変更が既定でオンになっています。 | Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 最終更新日: 2021 年 7 月 27 日 | 準拠していないデバイスでの印刷とスキャンの問題に対処するための一時的な軽減策でリリースされた Updates。 この日以降にリリースされた Updates を DC にインストールし、次の手順を使用してレジストリ キーを使用して軽減策を有効にする必要があります。 | Windows Server 2019 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2021 年 7 月 29 日 | 準拠していないデバイスでの印刷とスキャンの問題に対処するための一時的な軽減策でリリースされた Updates。 この日以降にリリースされた Updates を DC にインストールし、次の手順を使用してレジストリ キーを使用して軽減策を有効にする必要があります。 | Windows Server 2016 |
| 2022 年 1 月 25 日 | Updates では、DC が 2022 年 7 月/2022 年 8 月以降の更新プログラムをインストールすると認証に失敗する RFC-4456 非互換性プリンターであるプリンターを識別する Active Directory ドメイン コントローラーの監査イベントがログに記録されます。 | Windows Server 2022 Windows Server 2019 |
| 2022 年 2 月 8 日 | Updates では、DC が 2022 年 7 月/2022 年 8 月以降の更新プログラムをインストールすると認証に失敗する RFC-4456 非互換性プリンターであるプリンターを識別する Active Directory ドメイン コントローラーの監査イベントがログに記録されます。 | Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2022 年 7 月 21 日 | 環境内で苦情を表示する印刷およびスキャン デバイスを要求するための一時的な軽減策を削除する、オプションのプレビュー更新プログラムのリリース。 | Windows Server 2019 |
| 2022 年 8 月 9 日 |
重要 セキュリティ更新プログラムのリリースにより、環境内で苦情を表示する印刷およびスキャン デバイスを要求するための一時的な軽減策を削除します。 この日以降にリリースされたすべての更新プログラムでは、一時的な軽減策を使用できなくなります。 スマートカード認証プリンターとスキャナーは、これらの更新プログラムをインストールした後、またはこれ以降で Active Directory ドメイン コントローラーに CVE-2021-33764 に必要な RFC 4556 仕様のセクション 3.2.1 に準拠する必要があります |
Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
環境で一時的な軽減策を使用するには、すべてのドメイン コントローラーで次の手順を実行します。
ドメイン コントローラーで、レジストリ エディターまたは環境で使用可能な自動化ツールを使用して、以下に示す一時的な軽減策レジストリ値を 1 (有効) に設定します。
注
注釈 この手順 1 は、手順 2 と 3 の前または後に行うことができます。
2021 年 7 月 27 日以降にリリースされた更新プログラムで利用可能な一時的な軽減策を許可する更新プログラムをインストールします (一時的な軽減策を許可する最初の更新プログラムを次に示します)。
ドメイン コントローラーを再起動します。
一時的な軽減策のレジストリ値:
注
警告: レジストリ エディターまたは別の方法を使用してレジストリを誤って編集すると、深刻な問題が発生することがあります。 最悪の場合、オペレーティング システムの再インストールが必要になることがあります。 マイクロソフトは、このような問題の解決に関して、一切責任を負わないものとします。 レジストリの変更はユーザー自身の責任において行ってください。
| レジストリ サブキー | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc |
|---|---|
| 値 | Allow3DesFallback |
| データ型 | DWORD |
| データ |
1 – 一時的な軽減策を有効にします。 0 – 既定の動作を有効にして、 デバイスに RFC 4556 仕様のセクション 3.2.1 への準拠を要求します。 |
| 再起動が必要ですか? | × |
次のコマンドを使用して、上記のレジストリ キー、値およびデータセットを作成できます。
- reg add HKLM\System\CurrentControlSet\Services\Kdc /v Allow3DesFallback /t REG_DWORD /d 1 /f
イベントの監査
2022 年 1 月 25 日および 2022 年 2 月 8 日の Windows 更新プログラムでは、影響を受けるデバイスを識別するのに役立つ新しいイベント ID も追加されます。
| イベント ログ | システム |
|---|---|
| イベント タイプ | エラー |
| イベント ソース | Kdcsvc |
| イベント ID | 307 39 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| イベント テキスト | Kerberos クライアントは、暗号化モードを使用して PKINIT プロトコルで使用するためにサポートされている暗号化の種類を提供しませんでした。
|
| イベント ログ | システム |
|---|---|
| イベント タイプ | 警告 |
| イベント ソース | Kdcsvc |
| イベント ID | 308 40 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| イベント テキスト | この DC で認証された非準拠の PKINIT Kerberos クライアント。 KDCGlobalAllowDesFallBack が設定されたため、認証が許可されました。 今後、これらの接続は認証に失敗します。 デバイスを識別し、その Kerberos 実装のアップグレードを検討します
|
ステータス
マイクロソフトでは、この問題をこの資料の対象製品として記載されているマイクロソフト製品の問題として認識しています。