KB4034879: Użyj wpisu rejestru LdapEnforceChannelBinding, aby zwiększyć bezpieczeństwo uwierzytelniania LDAP za pomocą protokołu SSL/TLS

Dotyczy
Windows Server 2016 Windows Server 2016 Essentials Windows Server 2016 Standard Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Foundation Windows Server 2008 Standard Windows Server 2008 for Itanium-Based Systems Windows Server 2008 Web Edition Windows Server 2008 Enterprise Windows Server 2008 Datacenter Windows 10, version 1703, all editions Windows Server 2022 Windows Server 2019

Podsumowanie

CVE-2017-8563 wprowadza ustawienie rejestru, którego administratorzy mogą użyć, aby zwiększyć bezpieczeństwo uwierzytelniania LDAP przez SSL/TLS.

Więcej informacji

Ważne W tej sekcji, metodzie lub zadaniu podano informacje dotyczące modyfikowania rejestru. Niepoprawne zmodyfikowanie rejestru może jednak być przyczyną poważnych problemów. Dlatego należy uważnie wykonywać podane czynności. Aby zapewnić dodatkową ochronę, przed zmodyfikowaniem rejestru należy wykonać jego kopię zapasową. Dzięki temu będzie można przywrócić rejestr w przypadku wystąpienia problemu. Aby uzyskać więcej informacji dotyczących wykonywania kopii zapasowej i przywracania rejestru, kliknij następujący numer artykułu w celu wyświetlenia tego artykułu z bazy wiedzy Baza wiedzy Microsoft Knowledge Base:

322756 Jak wykonać kopię zapasową rejestru i przywrócić go w systemie Windows

Aby zwiększyć bezpieczeństwo uwierzytelniania LDAP za pomocą protokołu SSL/TLS, administratorzy mogą skonfigurować następujące ustawienia rejestru:

  • Ścieżka dla kontrolerów domeny Active Directory Domain Services (usług AD DS): HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
  • Ścieżka dla serwerów Active Directory Lightweight Directory Services (AD LDS): HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<LDS instance name>\Parameters
  • DWORD: LdapEnforceChannelBinding
  • Wartość DWORD:0 oznacza wyłączone. Nie jest przeprowadzana żadna weryfikacja powiązania kanału. Tak działają wszystkie serwery, które nie zostały zaktualizowane.
  • Wartość DWORD:1 oznacza włączone, jeśli jest obsługiwane. Wszyscy klienci uruchomieni w wersji systemu Windows, która została zaktualizowana w celu obsługi tokenów powiązania kanału (CBT), muszą dostarczyć informacje o powiązaniu kanału do serwera. Klienci korzystający z wersji systemu Windows, która nie została zaktualizowana do obsługi CBT, nie muszą tego robić. Jest to opcja pośrednia, która pozwala na zapewnienie zgodności aplikacji.
  • Wartość DWORD:2 oznacza włączone, zawsze. Wszyscy klienci muszą udostępniać informacje wiążące kanały. Serwer odrzuca żądania uwierzytelnienia od klientów, którzy tego nie robią.

Uwagi

  • Przed włączeniem tego ustawienia na kontrolerze domeny klienci muszą zainstalować aktualizację zabezpieczeń opisaną w pliku CVE-2017-8563. W przeciwnym razie mogą wystąpić problemy ze zgodnością, a żądania uwierzytelnienia LDAP przez SSL/TLS, które wcześniej działały, mogą przestać działać. Domyślnie to ustawienie jest wyłączone.
  • Należy jawnie utworzyć wpis rejestru LdapEnforceChannelBindings.
  • Serwer LDAP reaguje dynamicznie na zmiany wprowadzane w tym wpisie rejestru. Nie trzeba więc ponownie uruchamiać komputera po zastosowaniu zmiany w rejestrze.

Aby zmaksymalizować zgodność ze starszymi wersjami systemu operacyjnego (Windows Server 2008 i wcześniejszymi wersjami), zalecamy włączenie tego ustawienia z wartością 1.

Aby jawnie wyłączyć to ustawienie, ustaw dla wpisu LdapEnforceChannelBinding wartość 0 (zero).

Windows Server 2008 i starsze systemy wymagają zainstalowania programu rozwiązania zabezpieczające firmy Microsoft Advisory 973811 dostępnego w sekcji "KB5021989 Extended Protection for Authentication" (Rozszerzona ochrona przy uwierzytelnianiu) przed zainstalowaniem luki CVE-2017-8563. Jeśli zainstalujesz CVE-2017-8563 bez KB5021989 na kontrolerze domeny lub wystąpieniu usług AD LDS, wszystkie połączenia LDAPS nie powiedzie się z błędem LDAP 81 - LDAP_SERVER_DOWN.

Aby uzyskać więcej informacji, zobacz KB4520412.