Microsoft Security Advisory: Aktualizacja zwiększająca ochronę poświadczeń i zarządzanie nimi: 13 maja 2014 r.

WPROWADZENIE

Firma Microsoft wydała poradę firmy Microsoft dotyczącą bezpieczeństwa dotyczącą tego problemu dla informatyków. Porada dotycząca zabezpieczeń zawiera dodatkowe informacje związane z zabezpieczeniami. Aby wyświetlić poradę dotyczącą zabezpieczeń, przejdź do następującej witryny internetowej firmy Microsoft:

https://technet.microsoft.com/security/advisory/2871997 Ważne Oprócz aktualizacji 2871997 pojawiło się wiele innych aktualizacji, które przyczyniają się do poprawy ochrony poświadczeń. Uważnie przeczytaj ten artykuł, aby zapoznać się z całym zestawem dostępnych aktualizacji.

Aktualizacja — często zadawane pytania

Czy ta aktualizacja zawiera dodatkowe zmiany funkcjonalności związane z zabezpieczeniami?
Oprócz zmian wymienionych w przypadku luk w zabezpieczeniach opisanych w tym biuletynie, ta aktualizacja zawiera szczegółowe aktualizacje zwiększające ochronę poświadczeń i kontrolki uwierzytelniania domeny w celu zmniejszenia kradzieży poświadczeń. Aby uzyskać więcej informacji, zobacz Microsoft Security Advisory 2871997.

Więcej informacji

Ta aktualizacja wprowadza ustawienie rejestru TokenLeakDetectDelaySecs

WażneTa sekcja, metoda lub zadanie zawiera kroki umożliwiające modyfikowanie rejestru. Niepoprawne zmodyfikowanie rejestru może jednak być przyczyną poważnych problemów. Dlatego należy uważnie wykonywać podane czynności. Aby zapewnić dodatkową ochronę, przed zmodyfikowaniem rejestru należy wykonać jego kopię zapasową. Dzięki temu będzie można przywrócić rejestr w przypadku wystąpienia problemu. Aby uzyskać więcej informacji na temat tworzenia kopii zapasowej rejestru i przywracania go, kliknij następujący numer artykułu, aby wyświetlić ten artykuł w bazie wiedzy Microsoft Knowledge Base:

322756 Jak wykonać kopię zapasową rejestru i przywrócić go w systemie Windows
Po zainstalowaniu tej aktualizacji zabezpieczeń ustawieniem domyślnym dla niechronionych użytkowników w systemie Windows 7 i Windows 8 jest niewymuszenie wyczyszczenia poświadczeń sesji logowania z przeciekiem. Aby zastąpić to ustawienie domyślne, możesz dodać następujący dword rejestru i ustawić go na zalecaną wartość 30 sekund.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs

Spowoduje to uruchomienie wyczyszczenia wszelkich poświadczeń wylogowanych użytkowników po 30 sekundach, niezależnie od tego, czy nadal istnieje do niego odwołanie. Jest to zachowanie domyślne w przypadku Windows 8.1 i Windows 10.

Zachowanie domyślne po zastosowaniu 3126593 aktualizacji zabezpieczeń (MS16-014)

Po zainstalowaniu aktualizacji zabezpieczeń 3126593 domyślnie należy wymusić wyczyszczenie poświadczeń dla wszystkich użytkowników. Jeśli chcesz przywrócić poprzednie zachowanie starszej wersji, ustaw dla pozycji TokenLeakDetectDelaySecs wartość 0. Wyłącza to wyczyszczenie poświadczeń wylogowanych niechronionych użytkowników, dopóki odwołanie pozostanie.

Zmiany

14 października 2014 r. firma Microsoft wydała następujące aktualizacje w celu dodania trybu ograniczonego Administracja dla protokołu Remote Desktop Connection i Remote Desktop Protocol:

2984972 obsługiwanych wersji systemów Windows 7 i Windows Server 2008 R2

2984976 dla obsługiwanych wersji systemów Windows 7 i Windows Server 2008 R2 z zainstalowaną aktualizacją 2592687 (aktualizacja protokołu Remote Desktop Protocol 8.0). Klienci, którzy zainstalują 2984976 aktualizacji, również muszą zainstalować aktualizacje 2984972 .

2984981 dla obsługiwanych wersji systemów Windows 7 i Windows Server 2008 R2 z zainstalowaną aktualizacją 2830477 (aktualizacja klienta usługi Podłączanie pulpitu zdalnego 8.1). Klienci, którzy zainstalują 2984981 aktualizacji, również muszą zainstalować aktualizację 2984972 .

2973501 obsługiwane wersje Windows 8, Windows Server 2012 i Windows RT.
Uwaga Obsługiwane wersje Windows 8.1, Windows Server 2012 R2 i Windows RT 8.1 już zawierają tę funkcję i nie wymagają tej aktualizacji.

9 września 2014 r. firma Microsoft wydała następujące informacje:

2982378 Porada firmy Microsoft dotycząca zabezpieczeń: aktualizacja zwiększająca ochronę poświadczeń i zarządzanie nimi w systemach Windows 7 i Windows Server 2008 R2: 9 września 2014 r. 8 lipca 2014 r. firma Microsoft wydała następujące informacje:

2973351 Porada dotycząca zabezpieczeń firmy Microsoft: Aktualizacja rejestru zwiększająca ochronę poświadczeń i zarządzanie nimi dla systemów windows z zainstalowaną aktualizacją 2919355: 8 lipca 2014 r.

2975625 Microsoft Security Advisory: Aktualizacja rejestru zwiększająca ochronę poświadczeń i zarządzanie nimi dla systemów Windows, w których nie zainstalowano 2919355 aktualizacji: 8 lipca 2014 Ta aktualizacja zawiera konfigurowalne ustawienia rejestru do zarządzania trybem Administracja z ograniczeniami dla dostawcy obsługi zabezpieczeń poświadczeń (CredSSP).

Uwaga Aktualizacja zmienia domyślną funkcjonalność trybu ograniczonego Administracja w Windows 8.1, Windows Server 2012 R2 i Windows RT 8.1. Aby uzyskać więcej informacji, zobacz sekcję często zadawanych pytań w poradach. Poniższe pliki są dostępne do pobrania z Centrum pobierania Microsoft.

Uwaga Skorzystaj z poniższej tabeli, aby określić, które aktualizacje są odpowiednie dla Twojego systemu.

Ustawienia funkcji WDigest

Po zainstalowaniu tej aktualizacji zabezpieczeń możesz kontrolować sposób zapisywania poświadczeń WDigest przy użyciu ustawienia rejestru. Aby zapobiec przechowywaniu poświadczeń WDigest w pamięci, ustawienie zasady grupy można zastosować do wpisu rejestru UseLogonCredential pod następującym podkluczem:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest

• Jeśli wartość UseLogonCredential jest ustawiona na 0, funkcja WDigest nie będzie przechowywać poświadczeń w pamięci.
• Jeśli wartość UseLogonCredential jest ustawiona na 1, funkcja WDigest przechowuje poświadczenia w pamięci.

Po zainstalowaniu tej aktualizacji zabezpieczeń domyślnym ustawieniem tej wartości jest 1 w systemie Windows 7, Windows Server 2008 R2, Windows 8 i Windows Server 2012. Możesz użyć rozwiązania "Łatwa poprawka" opisanego w tym artykule, aby zmienić to ustawienie na 0. Spowoduje to wyłączenie przechowywania haseł WDigest w pamięci.

Uwaga Domyślnie w Windows 8.1 i Windows Server 2012 R2 i nowszych wersjach buforowanie poświadczeń w pamięci dla programu WDigest jest wyłączone (wartość UseLogonCredential domyślnie wynosi 0, gdy wpis rejestru nie jest obecny).

Obserwowana zmiana zachowania, gdy wartość UseLogonCredential jest ustawiona na 0 , jest taka, że podczas korzystania z funkcji WDigest można zauważyć, że poświadczenia są wymagane częściej.

Oto łatwa poprawka

To rozwiązanie z łatwą poprawką zmienia klucz rejestru UseLogonCredential , aby wyłączyć przechowywanie haseł WDigest w pamięci. Po zainstalowaniu 2871997 aktualizacji zabezpieczeń, a następnie zastosowaniu tego rozwiązania łatwej poprawki do systemów z systemem Windows 7, Windows Server 2008 R2, Windows 8 lub Windows Server 2012 nie powinno już być przechowywanych w pamięci poświadczeń podstawowych (wyczyszczenie tekstu).

Uwaga Aby można było używać tego rozwiązania z łatwą poprawką, musisz mieć zainstalowaną aktualizację zabezpieczeń 2871997.

Aby włączyć to rozwiązanie z łatwą poprawką, kliknij przycisk Pobierz . W oknie dialogowym Pobieranie pliku kliknij pozycję Uruchom lub Otwórz, a następnie postępuj zgodnie z instrukcjami kreatora łatwej poprawki.

• Ten kreator może być tylko w języku angielskim. Jednak poprawka automatyczna działa również w innych wersjach językowych systemu Windows.
• Jeśli nie korzystasz z komputera, na którym występuje problem, zapisz rozwiązanie Łatwa poprawka na dysku flash lub CD, a następnie uruchom je na komputerze, na którym występuje problem.

Wyłączanie przechowywania haseł WDigest w pamięci

Centrum pobierania Microsoft

Autonomiczny pakiet aktualizacji można uzyskać za pośrednictwem Centrum pobierania Microsoft. Postępuj zgodnie z instrukcjami instalacji na stronie pobierania, aby zainstalować aktualizację.

Kliknij link pobierania w poniższej tabeli odpowiadający używanej wersji systemu Windows. Sprawdzanie, czy na komputerze jest uruchomiona 32-, czy 64-bitowa wersja systemu Windows

Dla wszystkich obsługiwanych wersji systemu Windows 7 opartych na procesorach x86 teraz pakiet.

Dla wszystkich obsługiwanych wersji systemu Windows 7 opartych na procesorach x64 teraz pakiet.

Dla wszystkich obsługiwanych wersji systemu Windows Embedded Standard 7 opartych na procesorach x86 pakiet teraz.

Dla wszystkich obsługiwanych wersji systemu Windows Embedded Standard 7 opartych na procesorach x64 pakiet teraz.

Dla wszystkich obsługiwanych wersji opartych na procesorach x64 Windows Server 2008 R2 pakiet teraz.

Dla wszystkich obsługiwanych wersji systemu Windows Server 2008 R2 opartych na programie IA-64 pakiet teraz.

Dla wszystkich obsługiwanych wersji Windows 8 opartych na procesorze x86 teraz pakiet.

Dla wszystkich obsługiwanych wersji Windows 8 opartych na procesorach x64 teraz pakiet.

Dla wszystkich obsługiwanych wersji Windows Server 2012 opartych na procesorach x64 teraz pakiet.

Data wydania: 9 września 2014 r.

Aby uzyskać więcej informacji na temat pobierania plików pomocy technicznej firmy Microsoft, kliknij następujący numer artykułu, aby wyświetlić ten artykuł w bazie wiedzy Microsoft Knowledge Base:

119591 Jak uzyskać pliki pomocy technicznej firmy Microsoft od Usługi online firma Microsoft przeskanował ten plik w poszukiwaniu wirusów. Firma Microsoft używała najnowszego oprogramowania do wykrywania wirusów, które było dostępne w dniu opublikowania pliku. Plik jest przechowywany na serwerach z rozszerzonymi zabezpieczeniami, które pomagają zapobiegać wszelkim nieautoryzowanym zmianom w pliku.

INFORMACJE O PLIKACH

W wersji tej aktualizacji oprogramowania w języku angielskim (Stany Zjednoczone) są instalowane pliki o atrybutach wymienionych w tabelach poniżej. Daty i godziny dla tych plików są wymienione w uniwersalnym czasie koordynowanym (UTC). Daty i godziny tych plików na komputerze lokalnym są wyświetlane w czasie lokalnym i z bieżącą zmianą czasu letniego. Ponadto daty i godziny mogą ulec zmianie podczas wykonywania określonych operacji na plikach.

Informacje o plikach systemów Windows 7 i Windows Server 2008 R2

• Pliki, które dotyczą określonego produktu, punktu kontrolnego (RTM, SPn) i gałęzi usługi (LDR, GDR), można zidentyfikować, analizując numery wersji plików, jak pokazano w poniższej tabeli:

  Wersja	Produkt	Kamień milowy	Oddział usługi
  6.1.760 1. 18 xxx	Windows 7 i Windows Server 2008 z dodatkiem R2	SP1	GDR
  6.1.760 1. 22 xxx	Windows 7 i Windows Server 2008 z dodatkiem R2	SP1	LDR

• Gałęzie usługi GDR zawierają tylko te poprawki, które są szeroko udostępniane w celu rozwiązania powszechnych, krytycznych problemów. Gałęzie usługi LDR zawierają poprawki oprócz szeroko wydanych poprawek.

Uwaga Zainstalowane pliki MANIFEST (manifest) i MUM (mum) nie są wymienione.

Dla wszystkich obsługiwanych wersji systemu Windows 7 opartych na procesorach x86

Dla wszystkich obsługiwanych wersji systemu Windows 7 i Windows Server 2008 R2 opartych na procesorach x64

Dla wszystkich obsługiwanych wersji systemu Windows Server 2008 R2 opartych na programie IA-64