Symptomer
Når du har installert novemberoppdateringen for Windows 10 på en enhet, kan du ikke koble til et WPA-2 Enterprise-nettverk som bruker sertifikater for serversidegodkjenning eller gjensidig godkjenning (EAP, TLS, PEAP, TTLS).
Årsak
EAP ble oppdatert til å støtte TLS 1.2 i novemberoppdateringen for Windows 10. Dette innebærer at hvis serveren annonserer støtte for TLS 1.2 under TLS-forhandling, vil TLS 1.2 bli brukt.
Vi har mottatt rapporter om at noen Radius-serverimplementeringer opplever en feil med TLS 1.2. I dette feilscenarioet lykkes EAP-godkjenning, men MPPE-nøkkelberegningen mislykkes fordi feil PRF (Pseudo Random Function) brukes.
Radius-servere som er kjent for å være påvirket
Obs! Denne informasjonen er basert på undersøkelser og partnerrapporter. Vi vil legge til flere detaljer etter hvert som vi får mer data.
| Server | Mer informasjon | Løsning tilgjengelig |
|---|---|---|
| FreeRADIUS 2.x | 2.2.6 for alle TLS-baserte metoder, 2.2.6 - 2.2.8 for TTLS | Ja |
| FreeRADIUS 3.x | 3.0.7 for alle TLS-baserte metoder, 3.0.7-3.0.9 for TTLS | Ja |
| Radiator | 4.14 når den brukes med Net::SSLeay 1.52 eller tidligere | Ja |
| Aruba ClearPass Policy Manager | 6.5.1 | Ja |
| Sikker pulspolicy | https://kb.pulsesecure.net/articles/Pulse_Secure_Article/KB40089 | Rett under test |
| Cisco Identify Services Engine 2.x | 2.0.0.306 oppdatering 1 | Rett under test |
Oppløsning
Anbefalt løsning
Samarbeid med IT-administratoren om å oppdatere Radius-serveren til den riktige versjonen som inneholder en løsning.
Midlertidig løsning for Windows-baserte datamaskiner som har tatt i bruk oppdateringen for november
Obs! Microsoft anbefaler bruk av TLS 1.2 for EAP-godkjenning der det støttes. Selv om alle kjente problemer i TLS 1.0 har oppdateringer tilgjengelig, anerkjenner vi at TLS 1.0 er en eldre standard som har vist seg å være sårbar.
Hvis du vil konfigurere TLS-versjonen som EAP bruker som standard, må du legge til en DWORD-verdi med navnet TlsVersion i følgende registerundernøkkel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
Verdien til denne registernøkkelen kan være 0xC0, 0x300 eller 0xC00.
Notater
- Denne registernøkkelen gjelder bare for EAP, TLS og PEAP. den påvirker ikke TTLS-virkemåten.
- Hvis EAP-klienten og EAP-serveren er konfigurert feil slik at det ikke finnes noen felles konfigurert TLS-versjon, mislykkes godkjenningen, og brukeren kan miste nettverkstilkoblingen. Vi anbefaler derfor at bare IT-administratorer bruker disse innstillingene, og at innstillingene testes før distribusjon. Brukeren kan imidlertid konfigurere TLS-versjonsnummeret manuelt hvis serveren støtter den tilsvarende TLS-versjonen.
Viktig! Dette avsnittet, denne metoden eller denne oppgaven inneholder trinn som forteller deg hvordan du kan endre registret. Alvorlige problemer kan imidlertid oppstå hvis du endrer registeret på feil måte. Pass derfor på at du følger disse trinnene nøye. For ekstra beskyttelse sikkerhetskopierer du registeret før du endrer det. Du kan dermed gjenopprette registeret hvis det oppstår problemer. Hvis du vil ha mer informasjon om hvordan du sikkerhetskopierer og gjenoppretter registret, klikker du følgende artikkelnummer for å vise artikkelen i Microsoft Knowledge Base:
322756 Slik sikkerhetskopierer og gjenoppretter du registeret i Windows
Følg disse trinnene for å legge til disse registerverdiene:
Klikk på Start, og klikk på Kjør. Skriv inn regedit i Åpne-boksen, og klikk deretter på OK.
Finn og klikk deretter på følgende undernøkkel i registeret:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\PPP\EAP\13
Gå til Rediger-menyen, pek på Ny, og klikk deretter på DWORD-verdi.
Skriv inn TlsVersion som navn på DWORD-verdien, og trykk deretter på Enter.
Høyreklikk på TLS-versjon, og klikk deretter på Endre.
Bruk følgende verdier for de ulike versjonene av TLS i boksen Verdidata, og klikk deretter OK.
TLS-versjon DWORD-verdi TLS 1.0 0xC0 TLS 1.1 0x300 TLS 1.2 0xC00 Avslutt registerredigering, og start deretter datamaskinen på nytt eller start EapHost-tjenesten på nytt.
Mer informasjon
Relatert dokumentasjon:
Microsofts sikkerhetsveiledning: Oppdatering for Microsoft EAP-implementering som muliggjør bruk av TLS: 14. oktober 2014
https://support.microsoft.com/en-us/kb/2977292