Kā pārvaldīt Kerberos KDC RC4 lietojumu servisa konta biļešu izsniegšanas izmaiņām saistībā ar CVE-2026-20833

Attiecas uz
Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server, version 23H2 Windows Server 2025

Piezīme

  • Sākotnējais publicēšanas datums: 2026. gada 13. janvāris
  • KB ID: 5073381

Tēmas šajā rakstā

Kopsavilkums

Windows atjauninājumi, kas izlaisti 2026. gada 13. janvārī un vēlāk, ietver aizsardzību ievainojamībai, izmantojot Kerberos autentificēšanas protokolu. Windows atjauninājumi novērš informācijas izpaušanas ievainojamību CVE-2026-20833 , kas var ļaut uzbrucējam iegūt pakalpojumu biļetes ar vāju vai mantotu šifrēšanas tipu, piemēram, RC4, veikt bezsaistes uzbrukumus pakalpojuma konta paroles atkopšanai.

Lai mazinātu šo ievainojamību, Windows atjauninājumi, kas izlaisti 2026. gada 14. aprīlī un vēlāk, maina Kerberos atslēgu izplatīšanas centra (Key Distribution Center — KDC) noklusējuma vērtību attiecībā uz DefaultDomainSupportedEncTypes, ja vien administratori iespējo izpildes režīmu agrāk. Atjauninātie domēna kontrolleri, kas darbojas uzraudzības režīmā, pieņems atbalstu uzlabotās šifrēšanas Standard (AES) šifrēšanas tipa konfigurācijām tikai tad, ja nav norādīta nepārprotama konfigurācija. Papildinformāciju skatiet sadaļā Atbalstītie šifrēšanas tipi: bitu karodziņi. DefaultDomainSupportedEncTypes noklusējuma vērtība tiek lietota, ja nav skaidras vērtības.

Domēna kontrolleros ar definētu reģistra vērtību DefaultDomainSupportedEncTypes šīs izmaiņas funkcionāli neietekmēs darbību. Taču audita notikums KDCSVC notikuma ID: 205 tiks reģistrēts sistēmas notikumu žurnālā, ja esošā DefaultDomainSupportedEncTypes konfigurācija ir nedroša (piemēram, ja tiek izmantots RC4 šifrs).

atpakaļ uz sākumu

Rīkojieties

Lai palīdzētu aizsargāt jūsu vidi un novērstu pārtraukumus, iesakām veikt tālāk norādītās darbības.

  • ATJAUNINĀT Microsoft Active Directory domēna kontrolleri, sākot ar Windows atjauninājumiem, kas izlaisti 2026. gada 13. janvārī vai vēlāk.
  • PĀRRAUGIET sistēmas notikumu žurnālu jebkuram no deviņiem KDCSVC 201>, 209 audita notikumiem, kas reģistrēti Windows Server 2012 un jaunākos domēna kontrolleros, kas identificē riskus ar RC4 aizsardzības iespējošanu.
  • MATIĢĒT Sistēmas notikumu žurnālā reģistrētie KDCSVC notikumi, kas neļauj manuāli vai programmatiski iespējot RC4 aizsardzību.
  • IESPĒJOT Izpildes režīms, lai novērstu ievainojamības, kas novērstas CVE-2026-20833 jūsu vidē, kad brīdinājuma, bloķēšanas vai politikas notikumi vairs netiek reģistrēti.

Piezīme

SVARĪGI Instalējot atjauninājumus, kas izlaisti 2026. gada 13. janvārī vai vēlāk, pēc noklusējuma NETIKS novērstas ievainojamības, kas Active Directory domēna kontrolleriem ir aprakstītas CVE-2026-20833 . Lai pilnībā mazinātu ievainojamību, jums ir manuāli jāiespējo aktivizēšanas režīms (aprakstīts 3. darbībā: IESPĒJOŠANA) visos domēna kontrolleros. Windows Atjauninājumi, kas izlaisti 2026. gada jūlijā un pēc tam, programmiski iespējos izpildes posmu.

Aktivizēšanas režīms tiks automātiski iespējots, instalējot Windows Atjauninājumi, kas izlaisti 2026. gada aprīlī vai vēlāk, visos Windows domēna kontrolleros, un bloķēs neaizsargātus savienojumus no neatbilstošām ierīcēm.  Pēc šī perioda beigām auditēšanu nevarēsit atspējot, bet, iespējams, pārslēgsities atpakaļ uz audita režīma iestatījumu. Audita režīms tiks noņemts 2026. gada jūlijā, kā norādīts sadaļā Atjauninājumu laika izvēle , un izpildes režīms būs iespējots visos Windows domēna kontrolleros, un tas bloķēs neaizsargātus savienojumus no neatbilstošām ierīcēm.

Ja pēc 2026. gada aprīļa ir nepieciešams izmantot RC4, mēs iesakām tieši iespējot RC4 msds-SupportedEncryptionTypes bitmaskā pakalpojumos, kuriem būs jāpieņem RC4 lietojums.

atpakaļ uz sākumu

Atjauninājumu laika prognoze

2026. gada 13. janvāris — sākotnējais izvietošanas posms

Sākotnējais izvietošanas posms sākas ar atjauninājumiem, kas izlaisti 2026. gada 13. janvārī vai vēlāk, un turpinās ar jaunākiem Windows atjauninājumiem līdz izpildes posmam. Šī posma mērķis ir brīdināt klientus par jauniem drošības pasākumiem, kas tiks ieviesti otrajā izvietošanas posmā. Šajā atjauninājumā:

  • Nodrošina auditēšanas notikumus, lai brīdinātu klientus, kurus varētu negatīvi ietekmēt gaidāmā drošības rūdīšana.
  • Ievieš atbalstu reģistra vērtībai RC4DefaultDisablementPhase pēc tam, kad administrators proaktīvi iespējo izmaiņas, domēna kontrolleros iestatot vērtību 2 , kad KDCSVC audita notikumi norāda, ka tas ir droši.

2026. gada 14. aprīlis — izpildes posms ar manuālu atritināšanu

Šis atjauninājums maina noklusējuma DefaultDomainSupportedEncTypes vērtību KDC operācijām, lai izmantotu AES-SHA1 kontiem, kuriem nav definēts precīzs msds-SupportedEncryptionTypes Active Directory atribūts.

Šajā posmā DefaultDomainSupportedEncTypes noklusējuma vērtību maina tikai uz AES-SHA1: 0x18.

Šajā posmā ir iespējota arī RC4DefaultDisablementPhase atrites vērtības manuāla konfigurēšana līdz programmatiskajai izpildei 2026. gada jūlijā.

2026. gada jūlijs — izpildes posms

Windows atjauninājumi, kas izlaisti 2026. gada jūlijā vai vēlāk, noņems atbalstu reģistra apakšatslēgai RC4DefaultDisablementPhase.

atpakaļ uz sākumu

Izvietošanas vadlīnijas

Lai izvietotu Windows atjauninājumus, kas izlaisti 2026. gada 13. janvārī vai vēlāk, veiciet tālāk norādītās darbības.

  1. ATJAUNINIET domēna kontrollerus, izmantojot Windows atjauninājumu, kas izlaists 2026. gada 13. janvārī vai vēlāk.
  2. PĀRRAUGIET notikumus, kas reģistrēti sākotnējā izvietošanas posmā, lai palīdzētu aizsargāt savu vidi.
  3. PĀRVIETOJIET domēna kontrollerus uz aktivizēšanas režīmu, izmantojot sadaļu Reģistra iestatījumi .

1. darbība. ATJAUNINĀŠANA

Pēc atjauninājuma izvietošanas izvietojiet Windows atjauninājumu, kas izlaists 2026. gada 13. janvārī vai vēlāk, visās atbilstošajās Windows Active Directory, kas darbojas kā domēna kontrolleris.

  • Ja jūsu Windows Server 2012 vai jaunākas versijas domēna kontrolleri saņem Kerberos pakalpojumu biļešu pieprasījumus, kuros nepieciešama RC4 šifra izmantošana, bet pakalpojuma kontam ir noklusējuma šifrēšanas konfigurācija, sistēmas notikumu žurnālos tiks parādīti audita notikumi.
  • Audita notikums 205 tiks reģistrēts sistēmas notikumu žurnālā, ja jūsu domēna kontrollerim ir tieša DefaultDomainSupportedEncTypes konfigurācija, lai atļautu RC4 šifrēšanu.

2. darbība: MONITORS

Ja pēc domēna kontrolleru atjaunināšanas neredzat šajā rakstā dokumentētos audita notikumus, pārslēdzieties uz aktivizēšanas režīmu, mainot reģistra vērtību RC4DefaultDisablementPhase uz 2.

Ja tiek ģenerēti audita notikumi, jums būs jānoņem RC4 atkarības vai skaidri jākonfigurē kontu msds-SupportedEncryptionTypes atribūts, lai atbalstītu RC4 turpmāku izmantošanu pēc manuālas vai automātiskas izpildes režīma iespējošanas.

Administratoriem, kuri ir ieinteresēti novērst RC4 lietojumu plašāk, nekā aprakstīts šajā rakstā, mēs iesakām pārskatīt RC4 lietojuma noteikšanu un koriģēšanu programmā Kerberos , lai iegūtu papildinformāciju.

Piezīme

SVARĪGI Audita notikumi, kas saistīti ar šīm izmaiņām, tiek ģenerēti tikai tad, ja Active Directory nevar izsniegt AES-SHA1 pakalpojuma biļetes vai sesijas atslēgas. Audita notikumu neesamība negarantē , ka pēc aprīļa atjauninājuma visas ierīces, kas nav Windows ierīces, sekmīgi pieņems Kerberos autentifikāciju. Klientiem ir jāpārbauda, vai savietojamība, kas nav operētājsistēma Windows, veicot testēšanu, pirms vispārēji iespējojat šo darbību.

3. darbība: IESPĒJOT

Iespējojiet uzraudzības režīmu, lai novērstu CVE-2026-20833 ievainojamību jūsu vidē.

  • Ja KDC tiek pieprasīts nodrošināt RC4 pakalpojuma biļeti kontam ar noklusējuma konfigurācijām, tiks reģistrēts kļūdas notikums.
  • Joprojām būs redzams notikuma ID: 205 , kas reģistrēts jebkurai nedrošai DefaultDomainSupportedEncTypes konfigurācijai.

atpakaļ uz sākumu

Reģistra iestatījumi

Pēc Windows atjauninājumu instalēšanas, kas izlaisti 2026. gada 13. janvārī vai vēlāk, Kerberos protokolam ir pieejama tālāk norādītā reģistra atslēga.

RC4DefaultDisablementPhase

Šī reģistra atslēga tiek izmantota, lai sāktu Kerberos izmaiņu izvietošanu. Šī reģistra atslēga ir pagaidu un pēc spēkā stāšanās datuma vairs netiks nolasīta.

Reģistra atslēga HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
Datu tips REG_DWORD
Vērtības nosaukums RC4DefaultDisablementPhase
Vērtības dati 0 – Bez audita, bez izmaiņām
1 . Brīdinājuma notikumi tiks reģistrēti pēc noklusējuma RC4 lietojuma. (1. fāzes noklusējums)
2 – Kerberos sāks darbu, pieņemot, ka RC4 nav iespējots pēc noklusējuma. (2. fāzes noklusējums)
Vai nepieciešama restartēšana? Jā

atpakaļ uz sākumu

Audita notikumi

Pēc Windows atjauninājumu instalēšanas, kas izlaisti 2026. gada 13. janvārī vai vēlāk, tālāk norādītie KSCSVC audita notikumu tipi tiek pievienoti sistēmas notikumu žurnālam Windows Server 2012 un jaunākām versijām, kas darbojas kā domēna kontrolleris.

Šajā sadaļā

atpakaļ uz sākumu

Notikuma ID: 201

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 201
Notikuma teksts Atslēgu izplatīšanas centrs ir noteicis <šifra nosaukuma> lietojumu, kas aktivizēšanas posmā netiks atbalstīts, jo pakalpojums msds-SupportedEncryptionTypes nav definēts un klients atbalsta tikai nedrošus šifrēšanas tipus.
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Notikuma ID: 201 tiks reģistrēts, ja:
  • Klients reklamē tikai RC4 kā reklamētus etipus
  • Mērķa pakalpojumam NAV definēts msds-SET
  • Domēna kontrollerī NAV definēts DDSET
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 1
  • Brīdinājums: notikums 201 pāriet uz kļūdas notikumu 203 izpildes režīmā
  • Šis notikums tiek reģistrēts pēc pieprasījuma.
  • Brīdinājuma notikums 201 NETIEK reģistrēts, ja DefaultDomainSupportedEncTypes ir manuāli definēts

atgriezties pie audita notikumiem

Notikuma ID: 202

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 202
Notikuma teksts Atslēgu izplatīšanas centrs ir noteicis <šifra nosaukuma> lietojumu, kas aktivizēšanas posmā netiks atbalstīts, jo pakalpojums msds-SupportedEncryptionTypes nav definēts un pakalpojuma kontam ir tikai nedrošas atslēgas.
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Brīdinājuma notikums 202 tiks reģistrēts, ja:
  • Mērķa pakalpojumam nav AES atslēgu
  • Mērķa pakalpojumam NAV definēts msds-SET
  • Domēna kontrollerī NAV definēts DDSET
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 1
  • Kļūdas notikums 202 aktivizēšanas režīmā pāriet uz kļūdu 204
  • Brīdinājuma notikums 202 tiek reģistrēts katram pieprasījumam
  • Brīdinājuma notikums 202 NETIEK reģistrēts, ja DefaultDomainSupportedEncTypes ir manuāli definēts

atgriezties pie audita notikumiem

Notikuma ID: 203

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 203
Notikuma teksts Atslēgu izplatīšanas centrs bloķēja šifra lietošanu, jo pakalpojums msds-SupportedEncryptionTypes nav definēts un klients atbalsta tikai nedrošus šifrēšanas tipus.
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Kļūdas notikums 203 tiks reģistrēts, ja:
  • Klients reklamē tikai RC4 kā reklamētus etipus
  • Mērķa pakalpojumam NAV definēts msds-SET
  • Domēna kontrollerī NAV definēts DDSET
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 2
  • Pēc pieprasījuma

atgriezties pie audita notikumiem

Notikuma ID: 204

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 204
Notikuma teksts Atslēgu izplatīšanas centrs bloķēja šifra lietošanu, jo pakalpojums msds-SupportedEncryptionTypes nav definēts un pakalpojuma kontam ir tikai nedrošas atslēgas.
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Kļūdas notikums 204 tiks reģistrēts, ja:
  • Mērķa pakalpojumam nav AES atslēgu
  • Mērķa pakalpojumam NAV definēts msds-SET
  • Domēna kontrollerī NAV definēts DDSET
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 2
  • Pēc pieprasījuma

atgriezties pie audita notikumiem

Notikuma ID: 205

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 205
Notikuma teksts Atslēgu izplatīšanas centrs noteica skaidru šifra iespējošanu noklusējuma domēna atbalstīto šifrēšanas veidu politikas konfigurācijā.
Šifrs(i): <iespējoti nedroši šifri>
DefaultDomainSupportedEncTypes: <konfigurēta DefaultDomainSupportedEncTypes vērtība>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Brīdinājuma notikums 205 tiks reģistrēts, ja:
  • Domēna kontrolleris IR definējis DDSET, lai iekļautu jebko, izņemot AES-SHA1.
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 1, 2
  • Tas NEKAD nepārvērtīsies par kļūdu
  • Mērķis ir informēt klientu par nedrošu rīcību, ko mēs nemainīsim
  • Tiek reģistrēts katru reizi KDCSVC sākumā

atgriezties pie audita notikumiem

Notikuma ID: 206

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 206
Notikuma teksts Atslēgu izplatīšanas centrs ir noteicis <šifra nosaukuma> lietojumu, kas aktivizēšanas posmā netiks atbalstīts, jo pakalpojums msds-SupportedEncryptionTypes ir konfigurēts atbalstīt tikai AES-SHA1, bet klients nereklamē AES-SHA1
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Brīdinājuma notikums 206 tiks reģistrēts, ja:
  • Klients reklamē tikai RC4 kā reklamētus etipus
  • Notiek jebkurš no šiem gadījumiem:
    • Mērķa pakalpojumā msds-SET ir definēts tikai AES-SHA1
    • Domēna kontrollerī DDSET ir definēts tikai AES-SHA1
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 1
  • Brīdinājuma notikums 2016 pāriet uz kļūdas notikumu 2018 izpildes režīmā
  • Pieteicies pēc pieprasījuma

atgriezties pie audita notikumiem

Notikuma ID: 207

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 207
Notikuma teksts Atslēgu izplatīšanas centrs ir noteicis <šifra nosaukuma> lietojumu, kas aktivizēšanas posmā netiks atbalstīts, jo pakalpojums msds-SupportedEncryptionTypes ir konfigurēts atbalstīt tikai AES-SHA1, bet pakalpojuma kontam nav AES-SHA1 atslēgu.
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Brīdinājuma notikums 207 tiks reģistrēts, ja:
  • Mērķa pakalpojumam nav AES atslēgu
  • Notiek jebkurš no šiem gadījumiem:
    • Mērķa pakalpojumā msds-SET ir definēts tikai AES-SHA1
    • Domēna kontrollerī DDSET ir definēts tikai AES-SHA1
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 1
  • Izpildes režīmā tas pārvērtīsies par 209 (kļūda)
  • Pēc pieprasījuma

atgriezties pie audita notikumiem

Notikuma ID: 208

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 208
Notikuma teksts Atslēgu izplatīšanas centrs ar nolūku liedza šifra izmantošanu, jo pakalpojums msds-SupportedEncryptionTypes ir konfigurēts atbalstīt tikai AES-SHA1, bet klients nereklamē AES-SHA1
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Kļūdas notikums 208 tiks reģistrēts, ja:
  • Klients reklamē tikai RC4 kā reklamētus etipus
  • Notiek viens no šiem gadījumiem:
    • Mērķa pakalpojumā msds-SET ir definēts tikai AES-SHA1
    • Domēna kontrollerī DDSET ir definēts tikai AES-SHA1
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 2
  • Pēc pieprasījuma

atgriezties pie audita notikumiem

Notikuma ID: 209

Notikumu žurnāls Sistēma
Notikuma tips Brīdinājums
Notikuma avots Kdcsvc
Notikuma ID 209
Notikuma teksts Atslēgu izplatīšanas centrs apzināti liedza šifra izmantošanu, jo pakalpojums msds-SupportedEncryptionTypes ir konfigurēts atbalstīt tikai AES-SHA1, bet pakalpojuma kontam nav AES-SHA1 atslēgu
Konta informācija
Konta nosaukums: <Konta nosaukums>
Piegādātās sfēras nosaukums: <Piegādātās sfēras nosaukums>
msds-SupportedEncryptionTypes: <atbalstītie šifrēšanas veidi>
Pieejamie taustiņi: <pieejamie taustiņi>
Informācija par apkopi:
Pakalpojuma nosaukums: <Pakalpojuma nosaukums>
Pakalpojuma ID: <Pakalpojuma SID>
msds-SupportedEncryptionTypes: <pakalpojuma atbalstītie šifrēšanas veidi>
Pieejamās atslēgas: <pakalpojuma pieejamās atslēgas>
Informācija par domēna kontrolleri:
msds-SupportedEncryptionTypes: <domēna kontrolleris Atbalstītie šifrēšanas veidi>
DefaultDomainSupportedEncTypes: <DefaultDomainSupportedEncTypes vērtība>
Pieejamās atslēgas: <Domēna kontrolleris Pieejamās atslēgas>
Tīkla informācija:
Klienta adrese: <klienta IP adrese>
Klienta ports: <Klienta ports>
Reklamētie etipi: <reklamētie Kerberos šifrēšanas veidi>
Skatiet https://go.microsoft.com/fwlink/?linkid=2344614, lai uzzinātu vairāk.
Komentāri Kļūdas notikums 209 tiks reģistrēts, ja:
  • Mērķa pakalpojumam nav AES atslēgu
  • Notiek jebkurš no šiem gadījumiem:
    • Mērķa pakalpojumā msds-SET ir definēts tikai AES-SHA1
    • Domēna kontrollerī DDSET ir definēts tikai AES-SHA1
  • Reģistra vērtība RC4DefaultDisablementPhase ir iestatīta uz 2
  • Pēc pieprasījuma

atgriezties pie audita notikumiem

Piezīme

Attiecībā uz netiešām izmaiņām servisa biļešu šifrēšanas atlasē korporācijai Microsoft ir ierobežotas iespējas saprast iemeslus, kuru dēļ ierīce, kas nav Windows ierīce, var nespēt pieņemt Kerberos autentifikāciju pēc tam, kad KDC ir piemērojuši aprīļa atjauninājumu un pāriet uz noklusējuma AES-SHA1 uzvedību, ja ir nenorādīti. Mēs iesakām pārbaudīt šīs izmaiņas, veicot testēšanu savā vidē, pirms šīs darbības iespējojat plašā mērogā.

Visbiežāk šāda situācija rodas ierīcēs, kas izmanto Kerberos taustiņcilnes. Ja Kerberos Keytab ir eksportēts tikai ar RC4 atslēgām, bet mērķa pakalpojuma kontam ir AES-SHA1 atslēgas un tam nav definēts msds-SupportedEncryptionTypes, pastāv iespējamība, ka minētā pakalpojuma autentifikācija ir nesekmīga. Tas, visticamāk, izpaudīsies kā autentifikācijas kļūmes no mērķa pakalpojuma, nevis no KDC.

Mūsu galvenais ieteikums ir sadarboties ar tādas ierīces piegādātāju, kas nav Windows ierīce. Parasti ierīces, kas nav Windows ierīces, nespēj pieņemt Kerberos autentifikāciju nav raksturīgas tikai aprīļa izmaiņām, un tās var būt saistītas ar konkrētas ierīces vai ieviešanas ierobežojumiem.

Ja pēc šīm izmaiņām tiek novērotas Kerberos autentifikācijas problēmas ierīcēm, kas nav Windows ierīces, un piegādātāja novēršana nav iespējama, ieteikumi ir šādi:

  • Ietekmētajā pakalpojuma kontā skaidri definējiet msDS-SupportedEncryptionTypes , lai iekļautu RC4 ar AES sesijas atslēgām (0x24).
  • Ja tas nav iespējams, kā pēdējo līdzekli manuāli konfigurējiet reģistra vērtību DefaultDomainSupportedEncTypes visos attiecīgajos KDC, lai iekļautu RC4 ar AES-SHA1 sesijas atslēgām (0x24). Ņemiet vērā, ka tādējādi visi domēnā esošie konti tiek neaizsargāti pret CVE-2026-20833.

Ņemiet vērā, ka šī konfigurācija ir nedroša, un mūsu ilgtermiņa ieteikums ir migrēt ierīces, kas nav Windows ierīces, uz versijām, kas atbalsta AES-SHA1 Kerberos biļešu šifrēšanu.

atgriezties pie audita notikumiem

Bieži uzdotie jautājumi (BUJ)

Q1. Kā šīs izmaiņas mijiedarbojas ar domēniem, kuros ir trešo pušu KDC?

Šī stiprināšanas izmaiņas ietekmē tikai Windows domēna kontrollerus. Kerberos uzticamības un atsauces plūsma ar citiem Windows domēna kontrolleriem vai trešo pušu KDC netiek ietekmēta.

2. jautājums. Kā šīs izmaiņas mijiedarbojas ar domēniem, kuros ir ierīces, kas nav Windows domēna ierīces?

Trešo pušu domēna ierīcēm, kas nevar apstrādāt AES-SHA1 šifrēšanu, jau vajadzētu būt skaidri konfigurētām, lai atļautu RC4 šifrēšanu. Pakalpojumi, kas nevar apstrādāt AES-SHA1 biļetes, ir jālabo vai skaidri jākonfigurē Active Diregory, lai nodrošinātu RC4 šifrēšanu, kā minēts iepriekš. Lūdzu, rūpīgi pārbaudiet šīs izmaiņas.

3. jautājums. Vai Microsoft noņems iespēju konfigurēt DefaultDomainSupportedEncTypes?

Nē. Mēs reģistrēsim brīdinājuma notikumus nedrošām konfigurācijām attiecībā uz DefaultDomainSupportedEncTypes. Turklāt mēs ievērosim jebkuru konfigurāciju, ko tieši iestatījis administrators.

atpakaļ uz sākumu

Resursi

atpakaļ uz sākumu

Izmaiņu žurnāls

Mainīt datumu Izmaiņu apraksts
2026. gada 14. aprīlis
  • Atjaunināts 2026. gada aprīļa datums, lai atspoguļotu faktisko izlaišanas datumu izpildes fāzei ar manuālu atriti.
  • Definēta Kerberos KDC sadaļas "Kopsavilkums" otrās rindkopas pirmajā teikumā.

    No: Lai mazinātu šo ievainojamību, DefaultDomainSupportedEncTypes noklusējuma vērtību maina Windows Atjauninājumi, kas izlaisti 2026. gada 14. aprīlī vai pēc tam, vai administratori, kas savlaicīgi iespējo izpildes režīmu.

    Kam: Lai mazinātu šo ievainojamību, Windows atjauninājumi, kas izlaisti 2026. gada 14. aprīlī un vēlāk, maina Kerberos atslēgu izplatīšanas centra (Key Distribution Center — KDC) noklusējuma vērtību attiecībā uz DefaultDomainSupportedEncTypes, ja vien administratori iespējo izpildes režīmu agrāk.
2026. gada 7. aprīlis
  • Skaidrības labad pārformulēta sadaļas "Kopsavilkums" otrā rindkopa.
  • Ievietojiet SVARĪGO piezīmi sadaļā "2. solis: MONITORS", lai uzsvērtu tās svarīgumu. Lūdzu, ņemiet vērā SVARĪGO piezīmi.
  • Pievienota jauna otra rindkopa piezīmei virs bieži uzdoto jautājumu sadaļas.
2026. gada 16. marts
  • Skaidrības labad pārformulēts "2. darbība: MONITORS" sadaļā "Izvietošanas vadlīnijas".
  • Skaidrības labad pārformulēta atbilde uz jautājumu "Kā šīs izmaiņas mijiedarbojas ar domēniem, kas nav Windows domēna ierīces?" Bieži uzdoto jautājumu jautājums. Pievienota īpaša piezīme par to, kā šīs izmaiņas var ietekmēt pakalpojumus, kas nav Windows pakalpojumi.
2026. gada 10. februāris
  • Pievienota dokumentācijas saite uz DefaultDomainSupportedEncTypes gadījumiem.
  • Izlabots sadaļas "3. solis: iespējot" otrā aizzīmes punkta formulējums.

    No: Iepazīstina ar reģistra vērtību RC4DefaultDisablementPhase, lai proaktīvi iespējotu izmaiņas, domēna kontrolleros iestatot vērtību 2, kad KDCSVC audita notikumi norāda, ka tas ir droši.

    Kam: Ievieš atbalstu reģistra vērtībai RC4DefaultDisablementPhase pēc tam, kad administrators proaktīvi iespējo izmaiņas, domēna kontrolleros iestatot vērtību 2, kad KDCSVC audita notikumi norāda, ka tas ir droši.
  • Zem svarīgās piezīmes sadaļā "Rīkoties" mainīts rindkopas pirmais teikums, lai norādītu, kad aptuveni tiks iespējots izpildes režīms.

    No: Sākot ar 2026. gada aprīli, izpildes režīms būs iespējots visos Windows domēna kontrolleros un bloķēs neaizsargātus savienojumus no neatbilstošām ierīcēm.

    Kam: Aktivizēšanas režīms tiks automātiski iespējots, instalējot Windows Atjauninājumi, kas izlaisti 2026. gada aprīlī vai vēlāk, visos Windows domēna kontrolleros, un bloķēs neaizsargātus savienojumus no neatbilstošām ierīcēm.
  • Pievienots formulējums, lai pieminētu šīs izmaiņas, ir Windows Atjauninājumi, kas izlaisti 2026. gada 13. janvārī un pēc tam, un CVE-2026-20833.

atpakaļ uz sākumu