Oppsummering
Windows-oppdateringer datert 14. desember 2021 legger til støtte for personvern på pakkenivå på EFS-klienter (Encrypting File System). Det kreves at både Windows- og ikke-Windows EFS-klienter bruker personvern på pakkenivå når de kobler til EFS-servere som har Windows-oppdateringene datert på eller etter 14. desember 2021 installert.
Utfør handling
Følg disse trinnene for å beskytte miljøet for å unngå avbrudd:
-
Oppdater alle EFS-klienter og deretter servere ved å installere Windows-oppdateringene datert 14. desember 2021.
-
Fra og med oppdateringen for håndhevelsesfasen 8. mars 2022 kreves håndhevelsesmodus og aktiveres på alle Windows EFS-servere.
Tidsberegning for Windows-oppdateringer
EFS Windows-oppdateringene vil bli utgitt i to faser:
-
Første distribusjon: Innføring i oppdateringen 14. desember 2021.
-
Håndhevelsesfase: Håndhevelsesmodus er aktivert. Fjerning av AllowAllCliAuth-registernøkkelen .
14. desember 2021: Første distribusjonsfase
Den første distribusjonsfasen starter med Windows-oppdateringene utgitt 14. desember 2021.
Denne utgivelsen:
-
Bruk av Windows-oppdateringer datert på eller etter 14. desember 2021 løser problemet som er beskrevet i CVE-2021-43217.
Oppdateringen inkluderer registernøkkelen AllowAllCliAuth for håndhevelsesmodus for å hjelpe til med distribusjonen av oppdateringene.
EFS på nettverk: For miljøer der EFS brukes til å kryptere filer over nettverket, fra en klient til en server som er vert for filene, anbefaler vi at klienten oppdateres først og deretter serveren. Oppdatering av servere før klienter vil forårsake EFS-tilkoblingsfeil.
For miljøer der oppdatering av EFS-klienter før servere ikke er mulig, har vi angitt en registernøkkel kalt AllowAllCliAuth som kan angis på serveren for å aktivere ikke-oppdaterte EFS-klienter til å fortsette å koble til til klientoppdateringen er fullført. Når klienter er oppdatert, anbefaler vi at du fjerner AllowAllCliAuth-registernøkkelen eller setter den til 0 for å sikre at løsningen håndheves for alle klienter.
8. mars 2022: Håndhevelsesfase
Den andre distribusjonsfasen starter med at Windows-oppdateringen lanseres 8. mars 2022. I denne utgaven:
-
Støtte for AllowAllCliAuth-registernøkkelen fjernes for å sikre at håndhevelse av løsningen for CVE-2021-43217 forekommer på alle klienter og servere som er oppdatert med Windows-oppdateringen 8. mars 2022.
Informasjon om registernøkkel
AllowAllCliAuth-registerinnstillingskontrollen håndhever om EFS-klienter må bruke personvern på pakkenivå når de kobler til en EFS-server som har installert Windows-oppdateringer utgitt mellom 14. desember 2021 og 22. februar 2022.
AllowAllCliAuth-innstillingen ignoreres av EFS-servere som installerer Windows-oppdateringene 8. mars 2022 og nyere.
|
Registerundernøkkel |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EFS |
|
Verdi |
AllowAllCliAuth |
|
Datatype |
REG_DWORD |
|
Data |
1: EFS-serveren vil ikke fremtvinge personvern på pakkenivå på EFS-serveren. 0: EFS-klienter må støtte personvern på pakkenivå for å koble til en EFS-server som har dette registernøkkelsettet. Dette er håndhevelsesmodus. Obs! Hvis registernøkkelen ikke finnes på en server, brukes standardinnstillingen. |
|
Standard |
0 (når registernøkkelen ikke er angitt) |
|
Kreves en omstart? |
Nei |
Overvåkingshendelser
Windows-oppdateringene 14. desember 2021 legger til to nye hendelseslogger. Vær oppmerksom på at disse hendelsene kan logges bare én gang i løpet av en økt etter en omstart hvis registerinnstillingen for håndhevelsesmodus endres.
Hendelse 1
Denne hendelsen logges når en ikke-oppdatert EFS-klient som ikke støtter personvern på pakkenivå, forsøker å koble til en EFS-server som har Windows-oppdateringer datert på eller etter 14. desember 2021.
|
Hendelseslogg |
Program |
|
Hendelsestype |
Feil |
|
Hendelseskilde |
EFS |
|
Hendelses-ID |
4420 |
|
Hendelsestekst |
En klient forsøkte å kalle en EFS-tjeneste-API uten godkjenning på personvernnivå. Feilkode: <errorCode>. Se https://go.microsoft.com/fwlink/?linkid=2181030 |
Hendelse 2
Denne hendelsen logges når en EFS-klient prøver å koble til en EFS-server som har installert Windows-oppdateringer datert på eller etter 14. desember 2021 og angir AllowAllCliAuth-registerinnstillingen til 1.
|
Hendelseslogg |
Program |
|
Hendelsestype |
Advarsel |
|
Hendelseskilde |
EFS |
|
Hendelses-ID |
4421 |
|
Hendelsestekst |
En klient som kalte en EFS-tjeneste-API uten godkjenning på personvernnivå, ble tillatt. Se https://go.microsoft.com/fwlink/?linkid=2181030. |
