Active Directory 인증서 서비스 기반 시나리오에 대한 완화 계획

개요

다음 절은 Microsoft 보안 권고 ADV170012에 설명된 취약성의 영향을 받는 AD CS(Active Directory 인증서 서비스)에서 발급한 인증서 및 요청을 식별, 완화 및 해결하는 데 도움이 됩니다.

이 완화 프로세스에서는 취약성의 영향을 받는 발급된 인증서를 식별하고 해지하는 데 중점을 두고 있습니다.

완화

1. 장치에 적절한 펌웨어 업데이트를 사용할 수 있을 때까지 TPM KSP를 사용하도록 설정된 인증서 템플릿이 소프트웨어 기반 KSP를 사용하도록 업데이트합니다. 이렇게 하면 이후에는 TPM KSP를 사용하여 취약한 인증서가 만들어지지 않게 됩니다. 자세한 내용은 이 문서 뒷부분의 펌웨어 업데이트를 참조하세요.

2. 이전에 만든 인증서 또는 요청:
   

   1. 포함된 스크립트를 사용하여 취약해질 수 있는 발급된 모든 인증서를 나열합니다. 
      

      1. 이전 단계에서 확보한 일련 번호 목록을 전달하여 이러한 인증서를 해지합니다.

      2. 이제 소프트웨어 KSP를 지정하는 템플릿 구성을 기반으로 새 인증서를 등록합니다.

      3. 가능한 모든 위치에서 새 인증서를 사용하여 모든 시나리오를 다시 실행합니다.

   2. 포함된 스크립트를 사용하여 취약해질 수 있는 요청된 모든 인증서를 나열합니다.
      

      1. 이러한 인증서 요청을 모두 거부합니다.

   3. 포함된 스크립트를 사용하여 만료된 모든 인증서를 나열합니다. 이러한 인증서가 여전히 데이터의 암호를 해독하는 데 사용되는 암호화된 인증서가 아닌지 확인합니다. 만료된 인증서가 암호화되어 있나요?
      

      1. 암호화되어 있는 경우 소프트웨어 KSP를 사용하여 만든 인증서를 기반으로 하는 새 키를 사용하여 데이터를 암호 해독했다가 암호화합니다.

      2. 암호화되어 있지 않은 경우에는 인증서를 무시해도 됩니다.

   4. 이러한 해지된 인증서를 관리자가 실수로 해지 취소하지 못하도록 하는 프로세스가 있는지 확인합니다.

완화

모든 도메인 컨트롤러는 [RFC 4556] 3.2.4 절에 명시된 대로 KDC EKU가 있는 발급된 인증서여야 합니다. AD CS의 경우 Kerberos 인증 템플릿을 사용하고, 이를 발급된 다른 KDC 인증서보다 우선하도록 구성합니다.

자세한 내용은 [RFC 4556] 부록 C에서 Windows의 다양한 KDC 인증서 템플릿 기록을 참조하세요.

모든 도메인 컨트롤러에 RFC 호환 KDC 인증서가 있는 경우 Windows에서는 Windows Kerberos의 엄격한 KDC 유효성 검사를 사용하도록 설정하여 스스로를 보호할 수 있습니다.

참고 기본적으로 최신 Kerberos 공개 키 기능이 필요합니다.