Kaip valdyti "Kerberos KDC" RC4 naudojimą paslaugų abonemento išdavimo pakeitimams, susijusiems su CVE-2026-20833

Taikoma
Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server, version 23H2 Windows Server 2025

Pastaba

  • Pradinė publikavimo data: 2026 m. sausio 13 d.
  • KB ID: 5073381

Šiame straipsnyje:

Santrauka

"Windows" naujinimuose, išleistuose 2026 m. sausio 13 d. ir vėliau, yra "Kerberos" autentifikavimo protokolo pažeidžiamumo apsaugos. "Windows" naujinimai sprendžia CVE-2026-20833 informacijos atskleidimo pažeidžiamumą, kuris gali leisti užpuolikui gauti paslaugos kvitus su silpnais arba pasenusiais šifravimo tipais, pvz., RC4, neprisijungus atakoms vykdyti ir tarnybos paskyros slaptažodžiui atkurti.

Siekiant sumažinti šį pažeidžiamumą, "Windows" naujinimai, išleisti 2026 m. balandžio 14 d. ir vėliau, keičia "Kerberos" raktų paskirstymo centro (KDC) numatytąją reikšmę " DefaultDomainSupportedEncTypes", nebent administratoriai anksčiau įjungs vykdymo režimą. Atnaujinti domeno valdikliai, veikiantys vykdymo režimu, palaikys "Advanced Encryption Standard" (AES) šifravimo tipo konfigūracijas tik tuo atveju, jei nebus nurodyta tiksli konfigūracija. Daugiau informacijos žr. palaikomi šifravimo tipai, bitų žymės. Numatytoji DefaultDomainSupportedEncTypes reikšmė taikoma, jei nėra tiesioginės reikšmės.

Domenų valdikliuose su apibrėžta DefaultDomainSupportedEncTypes registro reikšme, šie pakeitimai funkciškai nepaveiks veiksenos. Tačiau audito įvykis KDCSVC įvykio ID: 205 bus užregistruotas sistemos įvykių žurnale, jei esama DefaultDomainSupportedEncTypes konfigūracija yra nesaugi (pvz., kai naudojamas RC4 šifras).

Atgal į viršų

Imkitės veiksmų

Siekiant apsaugoti aplinką ir išvengti elektros tiekimo sutrikimų, rekomenduojame:

  • NAUJINIMAS "„Microsoft“ Active Directory" domeno valdikliai, pradedant nuo "Windows" naujinimų, išleistų 2026 m. sausio 13 d. arba vėliau.
  • STEBĖKITE bet kurį iš devynių KDCSVC 201 209 >audito įvykių, užregistruotų "Windows Server 2012" ir naujesniuose domeno valdikliuose, kurie identifikuoja riziką įgalindami RC4 apsaugą, sistemos įvykių žurnalą.
  • SUŠVELNINTI KDCSVC įvykiai, užregistruoti sistemos įvykių žurnale, neleidžiantys rankiniu ar programiniu būdu įjungti RC4 apsaugos.
  • ĮGALINTI Vykdymo režimas, skirtas pašalinti CVE-2026-20833 pažeidžiamumus jūsų aplinkoje, kai įspėjimai, blokavimas arba strategijos įvykiai nebėra registruojami.

Pastaba

SVARBU Įdiegus naujinimus, išleistus 2026 m. sausio 13 d. arba vėliau, pagal numatytuosius parametrus nebus pašalinti pažeidžiamumai, aprašyti CVE-2026-20833 , skirti "Active Directory" domeno valdikliams. Norėdami visiškai sumažinti pažeidžiamumą, turėtumėte rankiniu būdu įjungti vykdymo režimą (aprašytą 3 veiksme: ĮGALINIMAS) visuose domeno valdikliuose. Įdiegus "Windows" Naujinimai, išleistus 2026 m. liepos mėn. ir vėliau, bus programiškai įgalintas vykdymo etapas.

Vykdymo režimas bus automatiškai įjungtas įdiegus "Windows" Naujinimai, išleistus 2026 m. balandžio mėn. arba vėliau, visuose "Windows" domeno valdikliuose ir blokuos pažeidžiamus ryšius iš reikalavimų neatitinkančių įrenginių.  Tada negalėsite išjungti audito, bet galite grįžti prie audito režimo parametro. Audito režimas bus pašalintas 2026 m. liepos mėn., kaip nurodyta skyriuje Naujinimų laikas , o vykdymo režimas bus įgalintas visuose "Windows" domeno valdikliuose ir blokuos pažeidžiamus ryšius iš reikalavimų neatitinkančių įrenginių.

Jei RC4 reikia naudoti po 2026 m. balandžio mėn., rekomenduojame aiškiai įgalinti RC4 msds-SupportedEncryptionTypes bitmaske tarnyboms, kurios turės priimti RC4 naudojimą.

Atgal į viršų

Naujinimų laikas

2026 m. sausio 13 d. – pradinis diegimo etapas

Pradinis diegimo etapas prasideda nuo naujinimų, išleistų 2026 m. sausio 13 d. ir vėliau, ir tęsiasi su vėlesniais "Windows" naujinimais iki vykdymo etapo. Šio etapo tikslas – įspėti klientus apie naujas saugos užtikrinimo priemones, kurios bus įdiegtos antruoju diegimo etapu. Šis naujinimas:

  • Pateikia audito įvykius, skirtus įspėti klientus, kurie gali nukentėti dėl artėjančio saugos sustiprinimo.
  • Pristatomas registro reikšmės RC4DefaultDisablePhase palaikymas po to, kai administratorius aktyviai įgalina pakeitimą nustatydamas reikšmę į 2 domeno valdikliuose, kai KDCSVC audito įvykiai rodo, kad tai daryti saugu.

2026 m. balandžio 14 d. – vykdymo etapas su rankiniu keitimų atšaukimu

Šis naujinimas pakeičia numatytąją KDC operacijų reikšmę DefaultDomainSupportedEncTypes , kad būtų galima naudoti AES-SHA1 paskyrose, kuriose nėra tiesioginio msds-SupportedEncryptionTypes active directory atributo.

Šiame etape numatytoji DefaultDomainSupportedEncTypes reikšmė keičiama tik į AES-SHA1: 0x18.

Šis etapas taip pat įgalina rankiniu būdu konfigūruoti RC4DefaultDisablementPhase keitimų atšaukimo reikšmę iki programinio vykdymo 2026 m. liepos mėn.

2026 m. liepa – vykdymo etapas

"Windows" naujinimai, išleisti 2026 m. liepos mėn. arba vėliau, pašalins registro dalinio rakto RC4DefaultDisablePhase palaikymą.

Atgal į viršų

Diegimo gairės

Norėdami įdiegti "Windows" naujinimus, išleistus 2026 m. sausio 13 d. arba vėliau, atlikite šiuos veiksmus:

  1. ATNAUJINKITE savo domeno valdiklius naudodami "Windows" naujinimą, išleistą 2026 m. sausio 13 d. arba vėliau.
  2. STEBĖKITE įvykius, užregistruotus pradinio diegimo etapo metu, kad padėtumėte apsaugoti savo aplinką.
  3. PERKELKITE domeno valdiklius į vykdymo režimą naudodami registro parametrų skyrių.

1 veiksmas: NAUJINIMAS

Įdiegę naujinimą, įdiekite "Windows" naujinimą, išleistą 2026 m. sausio 13 d. arba vėliau, visuose taikomuose "Windows Active Directory", veikiančiuose kaip domeno valdiklis.

  • Audito įvykiai bus rodomi sistemos įvykių žurnaluose, jei jūsų "Windows Server 2012" arba naujesnės versijos domeno valdikliai gauna "Kerberos" paslaugos kvito užklausas, kurioms reikia naudoti RC4 šifrą, tačiau tarnybos paskyra turi numatytąją šifravimo konfigūraciją.
  • Audito įvykis 205 bus įrašytas sistemos įvykių žurnale, jei jūsų domeno valdiklis turi aiškią DefaultDomainSupportedEncTypes konfigūraciją, leidžiančią RC4 šifravimą.

2 veiksmas: STEBĖJIMAS

Jei atnaujinę domeno valdiklius nematote šiame straipsnyje dokumentuotų audito įvykių, įjunkite vykdymo režimą pakeisdami RC4DefaultDisablementPhase registro reikšmę į 2.

Jei yra sugeneruotų audito įvykių, turėsite pašalinti RC4 priklausomybes arba aiškiai sukonfigūruoti abonementų msds-SupportedEncryptionTypes atributą, kad palaikytumėte tolesnį RC4 naudojimą rankiniu arba automatiniu būdu įjungus vykdymo režimą.

Administratoriams, kurie domisi RC4 naudojimo ištaisymu plačiau nei aprašyta šiame straipsnyje, rekomenduojame peržiūrėti RC4 naudojimo aptikimas ir taisymas programoje "Kerberos ", kad gautų daugiau informacijos.

Pastaba

SVARBU Su šiuo pakeitimu susiję audito įvykiai generuojami tik tada, kai "Active Directory" negali išduoti AES-SHA1 paslaugos kvitų arba seanso raktų. Audito įvykių nebuvimas negarantuoja , kad visi ne "Windows" įrenginiai sėkmingai priims "Kerberos" autentifikavimą po balandžio naujinimo. Klientai turėtų patikrinti ne "Windows" suderinamumą atlikdami bandymus, prieš iš esmės įgalindami šią elgseną.

3 veiksmas: ĮGALINKITE

Įgalinkite vykdymo režimą, kad išspręstumėte CVE-2026-20833 pažeidžiamumus savo aplinkoje.

  • Jei KDC prašoma pateikti RC4 paslaugos kvitą paskyrai su numatytosiomis konfigūracijomis, bus užregistruotas klaidos įvykis.
  • Toliau matysite bet kokios nesaugios "DefaultDomainSupportedEncTypes" konfigūracijos užregistruoto įvykio ID: 205.

Atgal į viršų

Registro parametrai

Įdiegus "Windows" naujinimus, išleistus 2026 m. sausio 13 d. arba vėliau, galimas šis "Kerberos" protokolo registro raktas.

RC4DefaultDisablementPhase

Šis registro raktas naudojamas "Kerberos" keitimams diegti. Šis registro raktas yra laikinas ir po įsigaliojimo datos jo nebebus skaitoma.

Registro raktas HKEY_LOCAL_MACHINE\SOFTWARE\„Microsoft“\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
Duomenų tipas REG_DWORD
Reikšmės pavadinimas RC4DefaultDisablementPhase
Reikšmės duomenys 0 – Jokio audito, jokių pakeitimų
1 – Įspėjamieji įvykiai bus registruojami naudojant numatytąjį RC4 režimą. (1 etapo numatytoji reikšmė)
2 – "Kerberos" pradės veikti, jei RC4 neįjungtas pagal numatytuosius parametrus. (2 etapo numatytoji reikšmė)
Reikia paleisti iš naujo? Taip

Atgal į viršų

Audito įvykiai

Įdiegus "Windows" naujinimus, išleistus 2026 m. sausio 13 d. arba vėliau, į "Windows Server 2012" ir naujesnės versijos, veikiančios kaip domeno valdiklis, sistemos įvykių žurnalą įtraukiami šie KSCSVC audito įvykių tipai.

Šiame skyriuje

Atgal į viršų

Įvykio ID: 201

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 201
Įvykio tekstas Raktų paskirstymo centras aptiko <šifro vardo> naudojimą, kuris bus nepalaikomas vykdymo etapu, nes tarnyba msds-SupportedEncryptionTypes nėra apibrėžta, o klientas palaiko tik nesaugius šifravimo tipus.
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Įvykio ID: 201 bus užregistruotas, jei:
  • Klientas reklamuoja RC4 tik kaip reklamuojamus etipus
  • Paskirties tarnyba NETURI apibrėžto msds-SET
  • Domeno valdiklyje DDSET NEAPIBRĖŽTAS
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 1
  • Įspėjimas: 201 įvykis pereina į 203 klaidos įvykį vykdymo režimu
  • Šis įvykis užregistruojamas pagal užklausą
  • Įspėjimo įvykis 201 NEUŽREGISTRUOJAMAS, jei DefaultDomainSupportedEncTypes apibrėžtas rankiniu būdu

grįžti į audito įvykius

Įvykio ID: 202

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 202
Įvykio tekstas Raktų paskirstymo centras aptiko <šifro vardo> naudojimą, kuris vykdymo etapu bus nepalaikomas, nes tarnyba msds-SupportedEncryptionTypes neapibrėžta, o tarnybos paskyra turi tik nesaugius raktus.
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Įspėjimo įvykis 202 bus užregistruotas, jei:
  • Paskirties tarnyba neturi AES raktų
  • Paskirties tarnyba NETURI apibrėžto msds-SET
  • Domeno valdiklyje DDSET NEAPIBRĖŽTAS
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 1
  • Klaidos įvykis 202 pereina į klaidą 204 vykdymo režimu
  • Įspėjimo įvykis 202 užregistruojamas kiekvienoje užklausoje
  • Įspėjimas: įvykis 202 NEUŽREGISTRUOJAMAS, jei DefaultDomainSupportedEncTypes apibrėžtas rankiniu būdu

grįžti į audito įvykius

Įvykio ID: 203

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 203
Įvykio tekstas Raktų paskirstymo centras užblokavo šifravimo naudojimą, nes tarnyba msds-SupportedEncryptionTypes nėra apibrėžta, o klientas palaiko tik nesaugius šifravimo tipus.
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Klaidos įvykis 203 bus užregistruotas, jei:
  • Klientas reklamuoja RC4 tik kaip reklamuojamus etipus
  • Paskirties tarnyba NETURI apibrėžto msds-SET
  • Domeno valdiklyje DDSET NEAPIBRĖŽTAS
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 2
  • Vienai užklausai

grįžti į audito įvykius

Įvykio ID: 204

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 204
Įvykio tekstas Raktų paskirstymo centras užblokavo šifravimo naudojimą, nes tarnyba msds-SupportedEncryptionTypes neapibrėžta, o tarnybos paskyra turi tik nesaugius raktus.
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Klaidos įvykis 204 bus užregistruotas, jei:
  • Paskirties tarnyba neturi AES raktų
  • Paskirties tarnyba NETURI apibrėžto msds-SET
  • Domeno valdiklyje DDSET NEAPIBRĖŽTAS
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 2
  • Vienai užklausai

grįžti į audito įvykius

Įvykio ID: 205

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 205
Įvykio tekstas Raktų paskirstymo centras aptiko tiesioginį šifro įgalinimą numatytojo domeno palaikomų šifravimo tipų strategijos konfigūracijoje.
Šifras (-ai): <įgalinti nesaugūs šifrai>
DefaultDomainSupportedEncTypes: <sukonfigūruota DefaultDomainSupportedEncTypes reikšmė>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Įspėjimo įvykis 205 bus užregistruotas, jei:
  • Domeno valdiklis TURI DDSET apibrėžtą taip, kad apimtų bet ką, išskyrus AES-SHA1.
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 1, 2
  • Tai NIEKADA nevirs klaida
  • Tikslas – informuoti klientą apie nesaugų elgesį, kurio mes nekeisime
  • Kiekvieną kartą registruojamas KDCSVC pradžioje

grįžti į audito įvykius

Įvykio ID: 206

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 206
Įvykio tekstas Raktų paskirstymo centras aptiko <šifro vardo> naudojimą, kuris bus nepalaikomas vykdymo etape, nes tarnyba msds-SupportedEncryptionTypes sukonfigūruota palaikyti tik AES-SHA1, bet klientas nereklamuoja AES-SHA1
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Įspėjimo įvykis 206 bus užregistruotas, jei:
  • Klientas reklamuoja RC4 tik kaip reklamuojamus etipus
  • Bet kuris iš šių atvejų:
    • Paskirties tarnybos msds-SET apibrėžta tik kaip AES-SHA1
    • Domeno valdiklyje DDSET nustatyta tik AES-SHA1
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 1
  • Įspėjimo įvykis 2016 pereina į klaidos įvykį 2018 vykdymo režimu
  • Prisijungta pagal užklausą

grįžti į audito įvykius

Įvykio ID: 207

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 207
Įvykio tekstas Raktų paskirstymo centras aptiko <šifro vardo> naudojimą, kuris vykdymo etapu bus nepalaikomas, nes tarnybos msds-SupportedEncryptionTypes sukonfigūruota palaikyti tik AES-SHA1, bet tarnybos paskyra neturi AES-SHA1 raktų.
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Įspėjimo įvykis 207 bus užregistruotas, jei:
  • Paskirties tarnyba neturi AES raktų
  • Bet kuris iš šių atvejų:
    • Paskirties tarnybos msds-SET apibrėžta tik kaip AES-SHA1
    • Domeno valdiklyje DDSET nustatyta tik AES-SHA1
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 1
  • Vykdymo režimu tai taps 209 (klaida)
  • Vienai užklausai

grįžti į audito įvykius

Įvykio ID: 208

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 208
Įvykio tekstas Raktų paskirstymo centras sąmoningai atsisakė naudoti šifrą, nes tarnyba msds-SupportedEncryptionTypes sukonfigūruota palaikyti tik AES-SHA1, bet klientas nereklamuoja AES-SHA1
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Klaidos įvykis 208 bus užregistruotas, jei:
  • Klientas reklamuoja RC4 tik kaip reklamuojamus etipus
  • Kitas iš šių atvejų:
    • Paskirties tarnybos msds-SET apibrėžta tik kaip AES-SHA1
    • Domeno valdiklyje DDSET nustatyta tik AES-SHA1
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 2
  • Vienai užklausai

grįžti į audito įvykius

Įvykio ID: 209

Įvykių žurnalas Sistema
Įvykio tipas Įspėjimas
Įvykio šaltinis Kdcsvc
Įvykio ID 209
Įvykio tekstas Raktų paskirstymo centras sąmoningai atsisakė naudoti šifrą, nes tarnyba msds-SupportedEncryptionTypes sukonfigūruota palaikyti tik AES-SHA1, bet tarnybos paskyra neturi AES-SHA1 raktų
Paskyros informacija
Sąskaitos pavadinimas: <Sąskaitos pavadinimas>
Pateiktos srities pavadinimas: <Pateiktos srities pavadinimas>
msds-SupportedEncryptionTypes: <palaikomi šifravimo tipai>
Galimi raktai: <Galimi raktai>
Techninės priežiūros informacija:
Paslaugos pavadinimas: <Paslaugos pavadinimas>
Paslaugos ID: <Paslaugos SID>
msds-SupportedEncryptionTypes: <Tarnybos palaikomi šifravimo tipai>
Galimi raktai: <Tarnybos turimi raktai>
Domeno valdiklio informacija:
msds-SupportedEncryptionTypes: <Domeno valdiklio palaikomi šifravimo tipai>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes reikšmė>
Turimi raktai: <Domeno valdiklis Galimi raktai>
Tinklo informacija:
Kliento adresas: <Kliento IP adresas>
Kliento prievadas: <Kliento prievadas>
Reklamuojami etipai: <Reklamuojami "Kerberos" šifravimo tipai>
Norėdami sužinoti daugiau, žr. https://go.microsoft.com/fwlink/?linkid=2344614.
Komentarai Klaidos įvykis 209 bus užregistruotas, jei:
  • Paskirties tarnyba neturi AES raktų
  • Bet kuris iš šių atvejų:
    • Paskirties tarnybos msds-SET apibrėžta tik kaip AES-SHA1
    • Domeno valdiklyje DDSET nustatyta tik AES-SHA1
  • Nustatyta registro reikšmė RC4DefaultDisablementPhase į 2
  • Vienai užklausai

grįžti į audito įvykius

Pastaba

Kalbant apie numanomą paslaugos kvito šifravimo pasirinkimo pasikeitimą, "„Microsoft“" gali ribotai matyti priežastis, dėl kurių ne "Windows" įrenginys gali nepriimti "Kerberos" autentifikavimo po to, kai KDC pritaiko balandžio naujinimą ir pereina prie numatytojo AES-SHA1 veikimo, kai nenurodyta. Siūlome patvirtinti šiuos pakeitimus atliekant testavimą savo aplinkoje prieš įgalinant šią veikseną plačiai.

Dažniausiai su tuo susiduriama su įrenginiais, naudojančiais "Kerberos" klavišų skirtukus. Jei "Kerberos" klavišų skirtukas eksportuotas tik su RC4 raktais, bet tikslinės tarnybos paskyra turi AES-SHA1 raktus ir nėra apibrėžtų msds-SupportedEncryptionTypes elementų, yra tikimybė, kad minėtos tarnybos autentifikavimas nepavyks. Tai greičiausiai pasireikš autentifikavimo nesėkmėmis iš tikslinės tarnybos, o ne iš KDC.

Pagrindinė mūsų rekomendacija – bendradarbiauti su ne "Windows" įrenginio pardavėju. Paprastai ne "Windows" įrenginiams nepavyksta priimti "Kerberos" autentifikavimo nėra būdingos tik balandžio mėn. keitimams ir gali būti dėl konkretaus įrenginio ar konkretaus diegimo apribojimų.

Jei po šio pakeitimo pastebimos "Kerberos" autentifikavimo problemos ne "Windows" įrenginiuose ir tiekėjo pataisyti neįmanoma, mūsų rekomendacijos yra tokios:

  • Paveiktoje tarnybos paskyroje aiškiai apibrėžkite msDS-SupportedEncryptionTypes įtraukdami RC4 su AES seanso raktais (0x24).
  • Jei tai neįmanoma, kraštutiniu atveju rankiniu būdu sukonfigūruokite DefaultDomainSupportedEncTypes registro reikšmę visuose atitinkamuose KDC, kad įtrauktumėte RC4 su AES-SHA1 seanso raktais (0x24). Atkreipkite dėmesį, kad dėl to visos domeno paskyros bus pažeidžiamos CVE-2026-20833.

Svarbu atkreipti dėmesį, kad ši konfigūracija yra nesaugi, todėl ilgalaikė rekomendacija yra ne "Windows" įrenginius perkelti į versijas, kurios palaiko AES-SHA1 "Kerberos" bilietų šifravimą.

grįžti į audito įvykius

Dažnai užduodami klausimai (DUK)

1 kl.: Kaip šis pakeitimas sąveikauja su domenais, kuriuose yra trečiųjų šalių KDC?

Šis sustiprinimo pakeitimas veikia tik "Windows" domeno valdiklius. "Kerberos" patikimumo ir persiuntimo srautui su kitais "Windows" domeno valdikliais ar trečiųjų šalių KDC įtakos neturi.

2 kl.: Kaip šis pakeitimas sąveikauja su domenais, kuriuose yra ne "Windows" domeno įrenginiai?

Trečiųjų šalių domenų įrenginiai, kurie negali apdoroti AES-SHA1 šifravimo, jau turėjo būti aiškiai sukonfigūruoti leisti RC4 šifravimą. Tarnybos, kurios negali apdoroti AES-SHA1 bilietų, turi būti pataisytos arba aiškiai sukonfigūruotos Active Direatory, kad būtų užtikrintas RC4 šifravimas, kaip nurodyta aukščiau. Atidžiai patvirtinkite šiuos pakeitimus.

3 kl.: Ar "„Microsoft“" pašalins galimybę konfigūruoti "DefaultDomainSupportedEncTypes"?

Ne. Registruosime įspėjimus apie nesaugias DefaultDomainSupportedEncTypes konfigūracijas. Be to, atsižvelgsime į visas konfigūracijas, kurias aiškiai nustato administratorius.

Atgal į viršų

Ištekliai

Atgal į viršų

Pakeitimų žurnalas

Datos keitimas Keitimų aprašas
2026 m. balandžio 14 d.
  • Atnaujinta 2026 m. balandžio mėn. data, kad būtų atspindėta faktinė "Vykdymo etapo su rankiniu keitimų atšaukimu" išleidimo data.
  • Apibrėžta "Kerberos KDC" skyriaus "Santrauka" antros pastraipos pirmame sakinyje.

    Nuo: Siekiant sumažinti šį pažeidžiamumą, numatytoji DefaultDomainSupportedEncTypes reikšmė keičiama "Windows" Naujinimai, išleisti 2026 m. balandžio 14 d. ir vėliau, arba administratoriai, kurie anksti įgalina vykdymo režimą.

    Kam: Siekiant sumažinti šį pažeidžiamumą, "Windows" naujinimai, išleisti 2026 m. balandžio 14 d. ir vėliau, keičia "Kerberos" raktų paskirstymo centro (KDC) numatytąją reikšmę " DefaultDomainSupportedEncTypes", nebent administratoriai anksčiau įjungs vykdymo režimą.
2026 m. balandžio 7 d.
  • Siekiant aiškumo, performuluota skyriaus "Santrauka" antra pastraipa.
  • Įdėkite pastabą SVARBU į skyrių "2 žingsnis: MONITORIUS", kad pabrėžtumėte jo svarbą. Atkreipkite dėmesį į SVARBIĄ pastabą.
  • Pridėta nauja antra pastraipa į pastabą virš DUK skyriaus.
2026 m. kovo 16 d.
  • Siekiant aiškumo, performuluota "2 veiksmas: STEBĖTI" skyriuje "Diegimo gairės".
  • Siekiant aiškumo, nusakytas atsakymas į klausimą "Kaip šis pakeitimas sąveikauja su domenais, kurie nėra "Windows" domeno įrenginiai?" DUK klausimas. Pridėta speciali pastaba apie tai, kaip šie pakeitimai gali paveikti ne "Windows" paslaugas.
2026 m. vasario 10 d.
  • Įtrauktas dokumentacijos saitas į " DefaultDomainSupportedEncTypes" atvejus.
  • Pataisyta skyriaus "3 veiksmas: įgalinti" antrojo punkto formuluotė.

    Nuo: Įveda registro reikšmę RC4DefaultDisablementPhase, kad būtų galima aktyviai įgalinti pakeitimą nustatant reikšmę į 2 domeno valdikliuose, kai KDCSVC audito įvykiai rodo, kad tai daryti saugu.

    Kam: Pristatomas registro reikšmės RC4DefaultDisablePhase palaikymas po to, kai administratorius aktyviai įgalina pakeitimą nustatydamas reikšmę į 2 domeno valdikliuose, kai KDCSVC audito įvykiai rodo, kad tai daryti saugu.
  • Po svarbia pastaba skyriuje "Imkitės veiksmų" pakeitė pirmąjį pastraipos sakinį, kad apytiksliai nurodytų, kada bus įjungtas vykdymo režimas.

    Nuo: Nuo 2026 m. balandžio vykdymo režimas bus įgalintas visuose "Windows" domeno valdikliuose ir blokuos pažeidžiamus ryšius iš reikalavimų neatitinkančių įrenginių.

    Kam: Vykdymo režimas bus automatiškai įjungtas įdiegus "Windows" Naujinimai, išleistus 2026 m. balandžio mėn. arba vėliau, visuose "Windows" domeno valdikliuose ir blokuos pažeidžiamus ryšius iš reikalavimų neatitinkančių įrenginių.
  • Pridėta formuluotė, kad šis pakeitimas būtų paminėtas "Windows" Naujinimai, išleisti 2026 m. sausio 13 d. ir vėliau, ir CVE-2026-20833.

Atgal į viršų