Reduksjonsplan for Active Directory Certificate Services-baserte scenarier

Sammendrag

Det finnes et sikkerhetsproblem i enkelte brikkesett for klarert plattformmodul (TPM). Sårbarheten svekker nøkkelstyrken.

Hvis du vil vite mer om dette sikkerhetsproblemet, kan du gå til ADV170012.

Mer informasjon

Oversikt

De følgende avsnittene hjelper deg med å identifisere, redusere og rette opp sertifikater og forespørsler utstedt av Active Directory Certificate Services (AD CS) som ble påvirket av sikkerhetsproblemet som er identifisert i Microsoft Sikkerhetsveiledning ADV170012.

Reduksjonsprosessen fokuserer på å identifisere de utstedte sertifikatene som påvirkes av sikkerhetsproblemet, og fokuserer også på å tilbakekalle dem.

Er x.509-sertifikatene som utstedes i virksomheten, basert på en mal som angir TPM KSP?

Hvis bedriften bruker TPM KSP, er det sannsynlig at scenarier der disse sertifikatene brukes, er utsatt for sikkerhetsproblemet som er identifisert i sikkerhetsveiledningen.

Begrensning

1. Inntil en passende fastvareoppdatering er tilgjengelig for enheten, må du oppdatere sertifikatmaler som er satt til å bruke TPM KSP, til å bruke en programvarebasert KSP. Dette hindrer opprettelse av fremtidige sertifikater som bruker TPM KSP, og som derfor er sårbare. Hvis du vil ha mer informasjon, kan du se Fastvareoppdatering senere i denne artikkelen.

2. For allerede opprettede sertifikater eller forespørsler:

   1. Bruk det vedlagte skriptet til å liste opp alle utstedte sertifikater som kan være sårbare. 

      1. Opphev disse sertifikatene ved å sende listen over serienumre som du fikk i forrige trinn.
      2. Fremtving registrering av nye sertifikater basert på malkonfigurasjonen som nå spesifiserer KSP for programvare.
      3. Kjør alle scenarioene på nytt ved hjelp av de nye sertifikatene der du kan.

   2. Bruk det vedlagte skriptet til å liste opp alle de forespurte sertifikatene som kan være sårbare:

      1. Avvis alle disse sertifikatforespørslene.

   3. Bruk det vedlagte skriptet til å liste opp alle utløpte sertifikater. Kontroller at dette ikke er krypterte sertifikater som fortsatt brukes til å dekryptere data. Krypteres utløpte sertifikater?

      1. Hvis ja, må dataene dekrypteres og deretter krypteres ved hjelp av en ny nøkkel som er basert på et sertifikat som er opprettet ved hjelp av KSP-programvare.
      2. Hvis nei, kan du trygt ignorere sertifikatene.

   4. Kontroller at det finnes en prosess som forhindrer at disse tilbakekalte sertifikatene ikke kan tilbakekalles ved et uhell av administratoren.

Sørg for at nye KDC-sertifikater oppfyller gjeldende anbefalte fremgangsmåter

Risiko: Mange andre servere kan oppfylle bekreftelseskriteriene for domenekontroller- og domenekontrollergodkjenning. Dette kan introdusere velkjente useriøse KDC-angrepsvektorer.

Utbedring

Alle domenekontrollere skal få utstedt sertifikater som har KDC EKU, som spesifisert i [RFC 4556] del 3.2.4. Bruk malen for Kerberos-godkjenning for AD CS, og konfigurer den slik at den erstatter alle andre KDC-sertifikater som er utstedt.

Hvis du vil ha mer informasjon, forklarer [RFC 4556] Vedlegg C historien til de forskjellige KDC-sertifikatmalene i Windows.

Når alle domenekontrollere har RFC-kompatible KDC-sertifikater, kan Windows beskytte seg selv ved å aktivere streng KDC-validering i Windows Kerberos.

Vær oppmerksom på Som standard kreves nyere Kerberos-funksjoner med fellesnøkkel.

Kontroller at tilbakekalte sertifikater ikke består i det respektive scenariet

AD CS brukes for ulike scenarioer i en organisasjon. Det kan brukes for Wi-Fi, VPN, KDC, System Center Configuration Manager og så videre.

Identifiser alle scenarioene i organisasjonen. Kontroller at disse scenariene mislykkes hvis de har de tilbakekalte sertifikatene, eller at du har erstattet alle de tilbakekalte sertifikatene med gyldige programvarebaserte sertifikater, og at scenariene er vellykket.

Hvis du bruker OCSP eller CRLS, oppdateres disse så snart de utløper. Vanligvis vil du imidlertid oppdatere de hurtigbufrede listen over återkallade lister over återkallade lister på alle datamaskiner. Hvis din OCSP er avhengig av CRL, må du sørge for at den henter de nyeste CRL-ene umiddelbart.

Kjør følgende kommandoer på alle datamaskinene som påvirkes, for å sikre at hurtigbufferne er slettet:

certutil -urlcache * delete

certutil –setreg chain\ChainCacheResyncFiletime @now

                 Fastvareoppdatering

Installer oppdateringen som utgis av OEM for å løse sikkerhetsproblemet i TPM. Når systemet er oppdatert, kan du oppdatere sertifikatmalene til å bruke TPM-basert KSP.