KB5014754: Op certificaten gebaseerde verificatiewijzigingen op Windows-domeincontrollers

Er konden geen sterke certificaattoewijzingen worden gevonden en het certificaat had niet de nieuwe SID-extensie (Security Identifier) die de KDC kon valideren.

Het certificaat is aan de gebruiker verleend voordat de gebruiker in Active Directory aanwezig was en er kon geen sterke toewijzing worden gevonden. Deze gebeurtenis wordt alleen geregistreerd wanneer de KDC zich in de compatibiliteitsmodus bevindt.

De SID in de nieuwe uitbreiding van het gebruikerscertificaat komt niet overeen met de SID van de gebruiker, wat betekent dat het certificaat is uitgegeven aan een andere gebruiker.

Notitie Bepaalde velden, zoals Verlener, Onderwerp en Serienummer, worden gerapporteerd in een 'forward'-indeling. U moet deze notatie omkeren wanneer u de toewijzingstekenreeks toevoegt aan het kenmerk altSecurityIdentities . Als u bijvoorbeeld de toewijzing X509IssuerSerialNumber aan een gebruiker wilt toevoegen, zoekt u in de velden 'Issuer' en 'Serial Number' van het certificaat dat u wilt toewijzen aan de gebruiker. Bekijk de voorbeelduitvoer hieronder.

• Uitgever: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Serienummer: 2B0000000011AC0000000012

Werk vervolgens het kenmerk altSecurityIdentities van de gebruiker in Active Directory bij met de volgende tekenreeks:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Gebruik de onderstaande opdracht om dit kenmerk bij te werken met PowerShell. Houd er rekening mee dat standaard alleen domeinbeheerders gemachtigd zijn om dit kenmerk bij te werken.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC110000000002B"}

Als u het serienummer omkeert, moet u de bytevolgorde aanhouden. Dit betekent dat het omkeren van het serienummer 'A1B2C3' moet resulteren in de tekenreeks 'C3B2A1' en niet in '3C2B1A'. Zie voor meer informatie HowTo: Een gebruiker toewijzen aan een certificaat via alle methoden die beschikbaar zijn in het kenmerk altSecurityIdentities.

Nadat u de Windows-updates van 10 mei 2022 hebt geïnstalleerd, bevinden apparaten zich in de compatibiliteitsmodus. Als een certificaat sterk kan worden toegewezen aan een gebruiker, vindt verificatie plaats zoals verwacht. Als een certificaat slechts zwak kan worden toegewezen aan een gebruiker, vindt verificatie plaats zoals verwacht. Er wordt echter een waarschuwingsbericht geregistreerd tenzij het certificaat ouder is dan de gebruiker. Als het certificaat ouder is dan de gebruiker en de registersleutel voor certificaatantedatering niet aanwezig is of als het bereik buiten de compensatie voor antedateren valt, mislukt de verificatie en wordt er een foutbericht geregistreerd.  Als de registersleutel voor certificaatantedatering is geconfigureerd, wordt er een waarschuwingsbericht in het gebeurtenislogboek geregistreerd als de datums binnen de compensatie voor antedateren vallen.

Nadat u de Windows-updates van 10 mei 2022 hebt geïnstalleerd, moet u letten op eventuele waarschuwingsberichten die na een maand of langer kunnen worden weergegeven. Als er geen waarschuwingsberichten zijn, raden we u ten zeerste aan de modus Volledige afdwinging in te schakelen op alle domeincontrollers die gebruikmaken van verificatie op basis van certificaten. U kunt de KDC-registersleutel gebruiken om de modus Volledige afdwinging in te schakelen.

Tenzij eerder de registersleutel StrongCertificateBindingEnforcement is bijgewerkt naar de controlemodus of afdwingingsmodus, gaan domeincontrollers over naar de modus Volledig afdwingen wanneer de Windows-beveiligingsupdate van februari 2025 wordt geïnstalleerd. Verificatie wordt geweigerd als een certificaat niet sterk kan worden toegewezen. De optie om terug te gaan naar de compatibiliteitsmodus blijft bestaan totdat de Windows-beveiligingsupdate van 9 september 2025 is geïnstalleerd. Na deze datum wordt de registersleutel StrongCertificateBindingEnforcement niet meer ondersteund

Als verificatie op basis van certificaten afhankelijk is van een zwakke toewijzing die u niet uit de omgeving kunt verplaatsen, kunt u domeincontrollers in de modus Uitgeschakeld plaatsen met behulp van een registersleutelinstelling. Microsoft raadt dit niet aan en de modus Uitgeschakeld wordt op 11 april 2023 verwijderd.

Zodra u de Windows-updates van 13 februari 2024 of later op Server 2019 en hoger hebt geïnstalleerd en clients hebt ondersteund waarop de optionele RSAT-functie is geïnstalleerd, wordt de certificaattoewijzing in Active Directory Users & Computers standaard ingesteld op het selecteren van sterke toewijzing met behulp van het X509IssuerSerialNumber in plaats van een zwakke toewijzing met behulp van de X509IssuerSubject. De instelling kan nog steeds naar wens worden gewijzigd.

Symptomen

Microsoft heeft rapporten ontvangen over de instelling 'Proces, ook als de groepsbeleidsobjecten niet zijn gewijzigd' onder het groepsbeleid-object 'Computerconfiguratie>, beheerjablonen>, SystemgroepsbeleidVerwerking>>van registerbeleid configureren" kan af en toe de op naam gebaseerde toewijzingen op domeincontrollers verstoren.

Tijdelijke oplossing

U kunt dit probleem omzeilen door de instelling 'Proces, zelfs als de groepsbeleidsobjecten niet zijn gewijzigd' op domeincontrollers uit te schakelen. Doe dit alleen als toewijzingen op basis van namen, zoals gedefinieerd in het groepsbeleid "Computer Configuration>Administrative Templates>System>KDC>Allow name-based strong mappings for certificates" nodig zijn. Zie Sterke toewijzing op basis van namen inschakelen in overheidsscenario's voor meer informatie.

Volgende stap

We onderzoeken deze rapporten en geven meer informatie wanneer deze beschikbaar is.

• Gebruik het operationele Kerberos-logboek op de relevante computer om te bepalen bij welke domeincontroller de aanmelding mislukt. Ga naar Logboeken> Logboeken \ voor toepassingen en servicesMicrosoft \Windows-beveiliging\- Kerberos\Operational.
• Zoek naar relevante gebeurtenissen in het systeemgebeurtenislogboek op de domeincontroller waartegen het account probeert te verifiëren.
• Als het certificaat ouder is dan het account, geef je het certificaat opnieuw uit of voeg je een veilige altSecurityIdentities-toewijzing toe aan het account (zie Certificaattoewijzingen).
• Als het certificaat een SID-extensie bevat, controleert u of de SID overeenkomt met het account.
• Als het certificaat wordt gebruikt voor de verificatie van meerdere verschillende accounts, moet voor elk account een afzonderlijke toewijzing AltSecurityIdentities worden toegepast.
• Als het certificaat geen beveiligde toewijzing aan het account heeft, voegt u er een toe of laat u het domein in de compatibiliteitsmodus staan totdat er een kan worden toegevoegd.

Een voorbeeld van TLS-certificaattoewijzing is het gebruik van een IIS-intranetwebtoepassing.

• Na de installatie van de beveiligingen CVE-2022-26391 en CVE-2022-26923 wordt in deze scenario's standaard het S4U-protocol (Kerberos Certificate Service For User) gebruikt voor certificaattoewijzing en verificatie.
• In het Kerberos-certificaat S4U-protocol stroomt de verificatieaanvraag van de toepassingsserver naar de domeincontroller, niet van de client naar de domeincontroller. Daarom bevinden relevante gebeurtenissen zich op de toepassingsserver.

Deze registersleutel wordt niet ondersteund na de installatie van updates voor Windows die zijn uitgebracht op of na september 2025.

Wanneer voor een servertoepassing clientverificatie vereist is, probeert Schannel automatisch het certificaat dat door de TLS-client aan een gebruikersaccount wordt geleverd, toe te wijzen. U kunt gebruikers die zich aanmelden met een clientcertificaat verifiëren door toewijzingen te maken die de certificaatgegevens relateren aan een Windows-gebruikersaccount. Nadat u een certificaattoewijzing hebt gemaakt en ingeschakeld, wordt deze gebruiker automatisch aan het juiste Windows-gebruikersaccount gekoppeld telkens wanneer een client een clientcertificaat presenteert.

Schannel probeert elke ingeschakelde methode voor certificaattoewijzing toe te wijzen totdat dit lukt. Schannel probeert eerst de toewijzingen Service-For-User-To-Self (S4U2Self) toe te wijzen. De certificaattoewijzingen Onderwerp/verlener, Verlener en UPN worden nu als zwak beschouwd en zijn standaard uitgeschakeld. De bitgemaskeerde som van de geselecteerde opties bepaalt de lijst met beschikbare certificaattoewijzingsmethoden.

De standaardregistersleutel SChannel werd 0x1F en is nu 0x18. Als er verificatiefouten optreden met Schannel-servertoepassingen, raden we u aan een test uit te voeren. Voeg de registersleutelwaarde CertificateMappingMethods toe aan de domeincontroller of wijzig deze en stel deze in op 0x1F en kijk of het probleem hiermee wordt opgelost. Zoek in de systeemgebeurtenislogboeken op de domeincontroller naar eventuele fouten die in dit artikel worden vermeld voor meer informatie. Houd er rekening mee dat als u de registersleutelwaarde van SChannel terugzet op de vorige standaardwaarde (0x1F), dit betekent dat er zwakke certificaattoewijzingsmethoden worden gebruikt.

Zie de sectie "Aanvullende bronnen" voor aanvullende informatie en ondersteuning.

Nadat u updates hebt geïnstalleerd die betrekking hebben op CVE-2022-26931 en CVE-2022-26923, kan verificatie mislukken in gevallen waarin de gebruikerscertificaten ouder zijn dan de aanmaaktijd van de gebruiker. Met deze registersleutel kan verificatie worden uitgevoerd als u zwakke certificaattoewijzingen gebruikt in uw omgeving en de certificaattijd binnen een bepaald bereik vóór de aanmaaktijd van de gebruiker valt. Deze registersleutel is niet van invloed op gebruikers of computers met sterke certificaattoewijzingen, omdat de certificaattijd en aanmaaktijd van gebruikers niet worden gecontroleerd met sterke certificaattoewijzingen. Deze registersleutel heeft geen effect als StrongCertificateBindingEnforcement is ingesteld op 2.

Het gebruik van deze registersleutel is een tijdelijke oplossing voor omgevingen waarin dit vereist is en moet met de nodige voorzichtigheid worden uitgevoerd. Het gebruik van deze registersleutel heeft het volgende gevolgen voor uw omgeving:

• Deze registersleutel werkt alleen in de compatibiliteitsmodus vanaf updates die zijn uitgebracht op 10 mei 2022. Verificatie is toegestaan binnen de compenserende offset van het antedateren, maar er wordt een waarschuwing in het gebeurtenislogboek geregistreerd voor de zwakke binding.
• Als u deze registersleutel inschakelt, kan de gebruiker als een zwakke toewijzing worden geverifieerd wanneer de certificaattijd vóór de aanmaaktijd van de gebruiker valt binnen een ingesteld bereik. Zwakke toewijzingen worden niet ondersteund na het installeren van updates voor Windows die zijn uitgebracht op of na september 2025.

U voert de volgende certutil-opdracht uit om certificaten van de gebruikerssjabloon uit te sluiten van het ophalen van de nieuwe extensie.

1. Meld u aan bij een certificeringsinstantieserver of een Windows 10-client die lid is van een domein met ondernemingsadministrator of vergelijkbare referenties.
2. Open een opdrachtprompt en kies Uitvoeren als beheerder.
3. Voer certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000 uit.

Als je de toevoeging van deze extensie uitschakelt, wordt de beveiliging van de nieuwe extensie verwijderd. Overweeg dit pas te doen na een van de volgende stappen:

1. U bevestigt dat de bijbehorende certificaten niet geschikt zijn voor Public Key Cryptography for Initial Authentication (PKINIT) in Kerberos-protocolverificaties bij KDC
2. Voor de bijbehorende certificaten zijn andere sterke certificaattoewijzingen geconfigureerd

Omgevingen met niet-Microsoft CA-implementaties worden niet beveiligd met de nieuwe SID-extensie na de installatie van de Windows-update van 10 mei 2022. Betrokken klanten moeten samenwerken met de bijbehorende CA-leveranciers om dit probleem op te lossen of moeten overwegen om andere sterke certificaattoewijzingen te gebruiken die hierboven zijn beschreven.

Zie de sectie "Aanvullende bronnen" voor aanvullende informatie en ondersteuning.

Nee, vernieuwen is niet vereist. De certificeringsinstantie wordt geleverd in de compatibiliteitsmodus. Voor een sterke toewijzing met de extensie ObjectSID hebt u een nieuw certificaat nodig.

In de Windows-update van 11 februari 2025 worden apparaten die nog niet in Afdwinging zijn (de registerwaarde StrongCertificateBindingEnforcement is ingesteld op 2), verplaatst naar Afdwinging. Als verificatie is geweigerd, ziet u gebeurtenis-id 39 (of gebeurtenis-id 41 voor Windows Server 2008 R2 SP1 en Windows Server 2008 SP2). In deze fase hebt u de mogelijkheid om de registersleutelwaarde weer op 1 in te stellen (compatibiliteitsmodus).

In de Windows-update van 9 september 2025 wordt de registerwaarde StrongCertificateBindingEnforcement niet meer ondersteund.