Izmaiņu žurnāls
Izmaiņas 1: 19. gada 2023. jūnijs:
|
|---|
Tēmas šajā rakstā
- Kopsavilkums
- Skaidri noteikto sesijas atslēgu šifrēšanas tipu noteikšana
- Reģistra atslēgas iestatījumi
- Windows notikumi, kas saistīti ar CVE-2022-37966
- Bieži uzdotie jautājumi (BUJ) un zināmās problēmas
- Glosārijs
Kopsavilkums
Windows atjauninājumi, kas izlaisti 2022. gada 8. novembrī vai vēlāk, risina drošības apiešanas un privilēģiju palielināšanas ievainojamības problēmas ar autentifikācijas sarunām, izmantojot vāju RC4-HMAC sarunas.
Šis atjauninājums iestatīs AES kā noklusējuma šifrēšanas tipu sesiju atslēgām kontos, kuri vēl nav atzīmēti ar noklusējuma šifrēšanas tipu.
Lai palīdzētu aizsargāt savu vidi, instalējiet Windows atjauninājumus, kas izlaisti 2022. gada 8. novembrī vai vēlāk, visās ierīcēs, tostarp domēna kontrolleros. Skatīt 1. izmaiņas.
Lai iegūtu papildinformāciju par šīm ievainojamībām, skatiet CVE-2022-37966.
Skaidri noteikto sesijas atslēgu šifrēšanas tipu noteikšana
Iespējams, jums ir skaidri definēti šifrēšanas veidi lietotāju kontos, kas ir neaizsargāti pret CVE-2022-37966. Meklējiet kontus, kuros DES / RC4 ir skaidri iespējots, bet ne AES, izmantojot šādu Active Directory vaicājumu:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Reģistra atslēgas iestatījumi
Pēc Windows atjauninājumu instalēšanas, kas ir datēti 2022. gada 8. novembrī vai vēlāk, Kerberos protokolam ir pieejama tālāk norādītā reģistra atslēga.
DefaultDomainSupportedEncTypes
| Reģistra atslēga | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Vērtība | DefaultDomainSupportedEncTypes |
| Datu tips | REG_DWORD |
| Datu vērtība | 0x27 (noklusējums) |
| Vai nepieciešama restartēšana? | Nē |
Piezīme Ja nepieciešams mainīt Active Directory lietotāja vai datora noklusējuma atbalstīto šifrēšanas tipu, manuāli pievienojiet un konfigurējiet reģistra atslēgu, lai iestatītu jauno atbalstīto šifrēšanas tipu. Šis atjauninājums reģistra atslēgu nepievieno automātiski.
Windows domēna kontrolleri izmanto šo vērtību, lai noteiktu atbalstītos šifrēšanas tipus Active Directory kontos, kuru msds-SupportedEncryptionType vērtība ir tukša vai nav iestatīta. Dators, kurā darbojas atbalstīta operētājsistēmas Windows versija, automātiski iestata msds-SupportedEncryptionTypes attiecīgajam datora kontam pakalpojumā Active Directory. Pamatā ir konfigurētā šifrēšanas tipu vērtība, ko ir atļauts izmantot Kerberos protokolam. Papildinformāciju skatiet sadaļā Tīkla drošība: Kerberos atļauto šifrēšanas tipu konfigurēšana.
Lietotāju kontiem, grupas pārvaldīto pakalpojumu kontiem un citiem kontiem pakalpojumā Active Directory msds-SupportedEncryptionTypes vērtība nav iestatīta automātiski.
Lai atrastu atbalstītos šifrēšanas tipus, kurus varat iestatīt manuāli, lūdzu, skatiet sadaļu Atbalstītie šifrēšanas tipi bitu karodziņi. Papildinformāciju skatiet vispirms, lai palīdzētu sagatavot vidi un novērstu Kerberos autentifikācijas problēmas.
Noklusējuma vērtība 0x27 (DES, RC4, AES sesijas atslēgas) tika izvēlēta kā minimālā šim drošības atjauninājumam nepieciešamā izmaiņa. Mēs iesakām klientiem iestatīt vērtību uz 0x3C lielākai drošībai, jo šī vērtība ļaus izmantot gan AES šifrētas biļetes, gan AES sesijas atslēgas. Ja klienti ir izpildījuši mūsu norādījumus, lai pārietu uz tikai AES vidi, kurā RC4 netiek izmantots Kerberos protokolam, mēs iesakām klientiem iestatīt vērtību uz 0x38. Skatīt 1. izmaiņas.
Windows notikumi, kas saistīti ar CVE-2022-37966
Kerberos atslēgu izplatīšanas centrā trūkst spēcīgu atslēgu kontam
| Notikumu žurnāls | Sistēma |
|---|---|
| Notikuma tips | Kļūda |
| Notikuma avots | Kdcsvc |
| Notikuma ID | 42 |
| Notikuma teksts | Kerberos atslēgu izplatīšanas centrā trūkst spēcīgu atslēgu kontam: accountname. Šī konta parole ir jāatjaunina, lai novērstu nedrošas šifrēšanas izmantošanu. Skatiet https://go.microsoft.com/fwlink/?linkid=2210019, lai uzzinātu vairāk. |
Ja atrodat šo kļūdu, visticamāk, jums ir jāatiestata krbtgt parole, pirms iestatāt KrbtgtFullPacSingature = 3 vai instalējat Windows atjauninājumus, kas izlaisti 2023. gada 11. jūlijā vai vēlāk. Atjauninājums, kas programmiski iespējo izpildes režīmu CVE-2022-37967, ir dokumentēts šajā Microsoft zināšanu bāzes rakstā:
KB5020805: Kā pārvaldīt Kerberos protokola izmaiņas, kas saistītas ar CVE-2022-37967
Lai iegūtu papildinformāciju par to, kā to izdarīt, skatiet New-KrbtgtKeys.ps1 tēmu GitHub tīmekļa vietnē.
Bieži uzdotie jautājumi (BUJ) un zināmās problēmas
Kādos apstākļos mana vide ir neaizsargāta?
Konti, kas ir atzīmēti tiešam RC4 lietojumam, ir neaizsargāti. Turklāt vides, kurām nav AES sesijas atslēgu krbgt kontā, var būt ievainojamas. Lai mazinātu šo problēmu, izpildiet norādījumus par to, kā identificēt ievainojamību, un izmantojiet reģistra atslēgas iestatījumu sadaļu, lai atjauninātu skaidri noteiktos šifrēšanas noklusējumus.
Kas man vispirms jādara, lai palīdzētu sagatavot vidi un novērstu Kerberos autentifikācijas problēmas pēc atjauninājumu instalēšanas, kas izlaisti 2022. gada 8. novembrī vai vēlāk, domēna kontrolleros?
Jums būs jāpārbauda, vai visām jūsu ierīcēm ir vispārējs Kerberos šifrēšanas tips. Papildinformāciju par Kerberos šifrēšanas tipiem skatiet sadaļā Atbalstīto Kerberos šifrēšanas tipu atlases atšifrēšana.
Vides bez vispārēja Kerberos šifrēšanas tipa iepriekš varēja funkcionēt, automātiski pievienojot RC4 vai pievienojot AES, ja RC4 tika atspējots, izmantojot domēna kontrolleru grupas politiku. Šī darbība ir mainījusies ar atjauninājumiem, kas izlaisti 2022. gada 8. novembrī vai vēlāk, un tagad tā stingri ievēros reģistra atslēgās norādīto, msds-SupportedEncryptionTypes un DefaultDomainSupportedEncTypes.
Ja kontam nav iestatīts msds-SupportedEncryptionTypes vai tas ir iestatīts uz 0, domēna kontrolleri pieņem, ka noklusējuma vērtība ir 0x27 (39), vai domēna kontrolleris izmanto reģistra atslēgas DefaultDomainSupportedEncTypes iestatījumu.
Ja kontā ir iestatīts msds-SupportedEncryptionTypes , šis iestatījums tiek ievērots un var atklāt kļūmi, kas saistīta ar to, ka nav konfigurēts bieži lietots Kerberos šifrēšanas tips, kas maskēta ar iepriekšējo darbību, automātiski pievienojot RC4 vai AES, kas vairs nav darbība pēc to atjauninājumu instalēšanas, kas izlaisti 2022. gada 8. novembrī vai vēlāk.
Informāciju par to, kā pārbaudīt kopējo Kerberos šifrēšanas veidu, skatiet sadaļā Jautājums: Kā varu pārbaudīt, vai visām manām ierīcēm ir vispārējs Kerberos šifrēšanas tips?
Kā varu pārbaudīt, vai visām manām ierīcēm ir vispārējs Kerberos šifrēšanas tips?
Skatiet iepriekšējo jautājumu , lai iegūtu papildinformāciju par to, kāpēc jūsu ierīcēs pēc atjauninājumu instalēšanas, kas izlaisti 2022. gada 8. novembrī vai vēlāk, iespējams, nav vispārēja Kerberos šifrēšanas tipa.
Ja jums jau ir instalēti atjauninājumi, kas izlaisti 2022. gada 8. novembrī vai vēlāk, varat noteikt ierīces, kurām nav vispārēja Kerberos šifrēšanas tipa, meklējot Microsoft-Windows-Kerberos-Key-Distribution-Center notikuma 27 notikumu žurnālā, kas identificē nesadalītus šifrēšanas tipus starp Kerberos klientiem un attālajiem serveriem vai pakalpojumiem.
Man pēc 2022. gada 8. novembrī vai vēlāk izlaisto atjauninājumu instalēšanas manā vidē ir radušās Kerberos autentifikācijas problēmas. Vai ir jārisina šīs problēmas Windows klienta ierīcēs vai Windows serveros, kuros nedarbojas domēna kontrollera loma?
2022. gada 8. novembrī vai vēlāk izlaisto atjauninājumu instalēšanai klientos vai lomu serveros, kas nav domēna kontrolleri, nevajadzētu ietekmēt Kerberos autentifikāciju jūsu vidē.
Pēc atjauninājumu instalēšanas, kas izlaisti 2022. gada 8. novembrī vai vēlāk, domēna kontrolleros radusies atmiņas noplūde lokālās drošības iestādes apakšsistēmas pakalpojumā (LSASS.exe). Kā rīkoties?
Lai mazinātu šo zināmo problēmu, atveriet komandu uzvednes logu kā administrators un īslaicīgi izmantojiet tālāk norādīto komandu, lai iestatītu reģistra atslēgu KrbtgtFullPacSignature uz 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Piezīme
Piezīme Kad šī zināmā problēma ir novērsta, KrbtgtFullPacSignature jāiestata augstāks iestatījums atkarībā no tā, ko atļauj jūsu vide. Ieteicams iespējot izpildes režīmu, tiklīdz jūsu vide ir gatava.
Turpmākie pasākumi Mēs strādājam pie risinājuma un nodrošināsim atjauninājumu nākamajā laidienā.
Kāpēc manā vidē rodas Kerberos autentifikācijas kļūmes ierīcēm, kas nav Windows ierīces?
Pēc atjauninājumu instalēšanas, kas izlaisti 2022. gada 8. novembrī vai vēlāk, jūsu domēna kontrolleros visām ierīcēm ir jāatbalsta AES biļešu parakstīšana, kā tas ir nepieciešams, lai tās atbilstu drošības pastiprināšanai, kas nepieciešama CVE-2022-37967.
Nākamās darbības Ja jūsu ierīcēs, kas nav Windows ierīces, jau darbojas visjaunākā programmatūra un aparātprogrammatūra, un esat pārliecinājies, ka starp Windows domēna kontrolleriem un ierīcēm, kas nav Windows ierīces, ir pieejams vispārējs šifrēšanas veids, sazinieties ar savas ierīces ražotāju (OEM) vai aizstājiet ierīces ar atbilstīgām ierīcēm.
Piezīme
SVARĪGI Mēs neiesakām izmantot nekādus risinājumus, lai atļautu autentificēties neatbilstošām ierīcēm, jo tas var padarīt jūsu vidi neaizsargātu.
Manas ierīces, kurās darbojas neatbalstīta Windows versija, vairs nevar piekļūt resursiem manā vidē. Turklāt šīm ierīcēm nevar piekļūt no atjauninātām Windows ierīcēm manā vidē. Kā rīkoties?
Neatbalstītās Windows versijas, tostarp Windows XP, Windows Server 2003, Windows Server 2008 SP2 un Windows Server 2008 R2 SP1, nevar piekļūt atjauninātām Windows ierīcēm, ja vien jums nav ESU licences. Ja jums ir ESU licence, jums būs jāinstalē atjauninājumi, kas izlaisti 2022. gada 8. novembrī vai vēlāk, un jāpārbauda, vai jūsu konfigurācijā ir pieejams visās ierīcēs pieejams kopīgs šifrēšanas tips.
Nākamās darbības Instalējiet atjauninājumus, ja tie ir pieejami jūsu Windows versijai un jums ir attiecīgā ESU licence. Ja atjauninājumi nav pieejami, jums būs jāveic jaunināšana uz atbalstītu Windows versiju vai jebkura lietojumprogramma vai pakalpojums jāpārvieto uz saderīgu ierīci.
Piezīme
SVARĪGI Mēs neiesakām izmantot nekādus risinājumus, lai atļautu autentificēties neatbilstošām ierīcēm, jo tas var padarīt jūsu vidi neaizsargātu.
Visām manām ierīcēm ir vispārējs šifrēšanas tips, un tās ir konfigurētas lietot tikai AES. Kāpēc joprojām tiek rādītas Kerberos autentifikācijas kļūdas pēc 2022. gada 8. novembra atjauninājuma instalēšanas?
Šī zināmā problēma tika novērsta ārpusjoslas atjauninājumos, kas izlaisti 2022. gada 17. novembrī un 2022. gada 18. novembrī instalēšanai visos domēna kontrolleros jūsu vidē. Lai novērstu šo problēmu, nav jāinstalē atjauninājums un jāveic izmaiņas citos serveros vai klienta ierīcēs savā vidē. Ja šai problēmai izmantojat kādu risinājumu vai mazināšanas darbības, tie vairs nav nepieciešami, un iesakām tos noņemt.
Lai iegūtu savrupo pakotni šiem ārpusjoslas atjauninājumiem, meklējiet KB numuru Microsoft Update katalogā. Šos atjauninājumus varat manuāli importēt Windows Server atjaunināšanas pakalpojumos (WSUS) un Microsoft Endpoint Configuration Manager. WSUS norādījumus skatiet WSUS un kataloga vietnē. Norādījumus par konfigurācijas pārvaldnieku skatiet sadaļā Atjauninājumu importēšana no Microsoft atjauninājumu kataloga.
Piezīme
Piezīme Tālāk norādītie atjauninājumi nav pieejami no Windows Update un netiks instalēti automātiski.
Kumulatīvie atjauninājumi:
Piezīme
Piezīme Jums nav jālieto neviens iepriekšējais atjauninājums, pirms šo kumulatīvo atjauninājumu instalēšanas. Ja jums jau ir instalēti 2022. gada 8. novembra atjauninājumi, nav nepieciešams atinstalēt ietekmētos atjauninājumus, pirms instalējat jaunākos atjauninājumus, tostarp iepriekš norādītos atjauninājumus.
Savrupie atjauninājumi:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (izlaists 2022. gada 18. novembrī)
- Windows Server 2008 SP2: KB5021657
Piezīme
Piezīmes
- Ja šīm Windows Server versijām izmantojat tikai drošības atjauninājumus, šie savrupie atjauninājumi ir jāinstalē tikai 2022. gada novembra mēnesim. Tikai drošības atjauninājumi nav kumulatīvi, un jums būs arī jāinstalē visi iepriekšējie tikai drošības atjauninājumi, lai tie būtu pilnībā atjaunināti. Ikmēneša apkopojuma atjauninājumi ir kumulatīvi, un tie ietver drošības un visus kvalitātes atjauninājumus.
- Ja izmantojat ikmēneša apkopojuma atjauninājumus, jums būs jāinstalē abi iepriekš uzskaitītie savrupie atjauninājumi, lai novērstu šo problēmu, un jāinstalē 2022. gada 8. novembrī izlaistie ikmēneša apkopojumi, lai saņemtu 2022. gada novembra kvalitātes atjauninājumus. Ja jums jau ir instalēti 2022. gada 8. novembra atjauninājumi, nav nepieciešams atinstalēt ietekmētos atjauninājumus, pirms instalējat jaunākos atjauninājumus, tostarp iepriekš norādītos atjauninājumus.
Es Windows ierīcēs izmantoju lietojumprogrammu, kas izmanto Kerberos implementāciju, ko nav izstrādājusi korporācija Microsoft, un man rodas Kerberos autentifikācijas problēmas. Kā rīkoties?
Ja esat pārbaudījis savas vides konfigurāciju un joprojām pastāv problēmas ar Kerberos ieviešanu, ko nav Microsoft veicis, jums būs nepieciešami atjauninājumi vai atbalsts no programmas vai ierīces izstrādātāja vai ražotāja.
Man pakalpojumā Active Directory ir iestatīts msds-SupportedEncryptionTypes visiem kontiem, kas konfigurēti kā ne-nulle bez šifrēšanas tipa bitu iestatīšanas (vismazāk nozīmīgie 5 biti), bet man ir autentifikācijas kļūmes pēc atjauninājumu, kas izlaisti 2022. gada 8. novembrī vai vēlāk, instalēšanas domēna kontrolleros. Kā rīkoties?
Šo zināmo problēmu var mazināt, veicot kādu no šīm darbībām:
Iestatiet msds-SupportedEncryptionTypes ar bitu vai iestatiet to uz pašreizējo noklusējuma 0x27 , lai saglabātu pašreizējo vērtību. Piemērs.
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Iestatiet msds-SupportEncryptionTypes uz 0 , lai ļautu domēna kontrolleriem izmantot noklusējuma vērtību 0x27.
Turpmākie pasākumi Mēs strādājam pie risinājuma un nodrošināsim atjauninājumu nākamajā laidienā.
Glosārijs
Uzlabotais šifrēšanas standarts (AES)
Uzlabotās šifrēšanas standarts (AES) ir blokšifrs, kas aizstāj datu šifrēšanas standartu (DES). AES var izmantot, lai aizsargātu elektroniskos datus. AES algoritmu var izmantot, lai šifrētu (šifrētu) un atšifrētu (atšifrētu) informāciju. Šifrēšana pārvērš datus nesaprotamā formā, ko sauc par šifrētu tekstu; Šifrētā teksta atšifrēšana pārvērš datus atpakaļ to sākotnējā formā, ko sauc par vienkāršu tekstu. AES tiek izmantots simetrisko atslēgu kriptogrāfijā, kas nozīmē, ka viena un tā pati atslēga tiek izmantota šifrēšanas un atšifrēšanas operācijām. Tas ir arī bloku šifrs, kas nozīmē, ka tas darbojas ar fiksēta izmēra vienkārša teksta un šifra teksta blokiem, un pieprasa, lai vienkārša teksta un šifra teksta lielums būtu precīzs šī bloka lieluma daudzkārtnis. AES ir pazīstams arī kā Rijndael simetriskās šifrēšanas algoritms [FIPS197].
Kerberos
Kerberos ir datortīkla autentifikācijas protokols, kas darbojas, izmantojot "biļetes", lai ļautu mezgliem, kas sazinās tīklā, drošā veidā pierādīt savā starpā savu identitāti.
Atslēgu izplatīšanas centrs (KDC)
Kerberos pakalpojums, kas ievieš Kerberos protokolā norādītos autentifikācijas un biļešu piešķiršanas pakalpojumus. Pakalpojums darbojas datoros, kurus atlasījis domēna vai domēna administrators; Tas nav pieejams katrā tīkla mašīnā. Tam jābūt piekļuvei apkalpojamās jomas kontu datu bāzei. KDC ir integrēti domēna kontrollera lomā. Tas ir tīkla pakalpojums, kas nodrošina biļetes klientiem izmantošanai pakalpojumu autentificēšanā.
RC4-HMAC
RC4-HMAC (RC4) ir mainīga atslēgas garuma simetriskās šifrēšanas algoritms. Papildinformāciju skatīt [SCHNEIER] 17.1. punktā.
Sesijas taustiņš
Relatīvi īslaicīga simetriska atslēga (šifrēšanas atslēga, par kuru vienojas klients un serveris, pamatojoties uz kopīgu noslēpumu). Sesijas atslēgu dzīves ilgumu ierobežo sesija, ar kuru tas ir saistīts. Sesijas atslēgai ir jābūt pietiekami spēcīgai, lai izturētu kriptoanalīzi visas sesijas dzīves laikā.
Biļešu piešķiršanas biļete
Īpašs biļešu veids, ko var izmantot, lai iegūtu citas biļetes. Biļetes piešķiršanas biļete (TGT) tiek iegūta pēc sākotnējās autentifikācijas Autentifikācijas pakalpojuma (AS) biržā; pēc tam lietotājiem nav jāuzrāda savi akreditācijas dati, bet viņi var izmantot TGT, lai iegūtu nākamās biļetes.