KB5021130: Jak zarządzać zmianami protokołu Netlogon związanymi z CVE-2022-38023

Początkowa faza wdrażania rozpoczyna się od aktualizacji wydanych 8 listopada 2022 r. i jest kontynuowana z późniejszymi aktualizacjami systemu Windows aż do fazy wymuszania. Aktualizacje systemu Windows od 8 listopada 2022 r. rozwiązują lukę w zabezpieczeniach związaną z obejściem luki CVE-2022-38023 , wymuszając pieczętowanie RPC na wszystkich klientach systemu Windows.

Domyślnie urządzenia będą ustawione w trybie zgodności. Kontrolery domeny systemu Windows będą wymagać, aby klienci Netlogon używali pieczęci RPC, jeśli są uruchomieni w systemie Windows lub jeśli działają jako kontrolery domeny lub jako konta zaufania.

Aktualizacje systemu Windows wydane 11 kwietnia 2023 r. lub później usuną możliwość wyłączenia pieczętowania RPC, ustawiając wartość 0 na podklucz rejestru RequireSeal .

Podklucz rejestru RequireSeal zostanie przeniesiony do trybu wymuszonego, chyba że administratorzy jawnie skonfigurują tryb zgodności. Zagrożone połączenia ze wszystkich klientów, w tym innych firm, nie będą uwierzytelniane. Zobacz Zmiana 1.

Aktualizacje systemu Windows wydane 11 lipca 2023 r. usuną możliwość ustawienia wartości 1 do podklucza rejestru RequireSeal . Umożliwia to fazę wymuszania CVE-2022-38023.

Jeśli ten komunikat zostanie znaleziony w dzienniku zdarzeń, należy wykonać następujące czynności, aby usunąć błąd systemu:

• Upewnij się, że na urządzeniu jest uruchomiona obsługiwana wersja systemu Windows.
• Sprawdź, czy wszystkie urządzenia są aktualne.
• Upewnij się, że Członek domeny: Członek domeny Szyfruj cyfrowo lub podpisuj dane bezpiecznego kanału (zawsze) jest ustawione na Włączone .

Jeśli znajdziesz zdarzenie 5840, jest to znak, że klient w Twojej domenie używa słabej kryptografii.

Jeśli znajdziesz zdarzenie 5841, jest to znak, że wartość RejectMD5Clients jest ustawiona na TRUE .

Klucz RejectMD5Clients to klucz istniejący wcześniej w usłudze Netlogon. Aby uzyskać więcej informacji, zobacz opis RejectMD5Clients abstrakcyjnego modelu danych.

Ten błąd CVE dotyczy wszystkich kont komputerów przyłączonych do domeny. Zdarzenia pokażą, kto jest najbardziej dotknięty tym problemem Po zainstalowaniu aktualizacji systemu Windows z 8 listopada 2022 r. lub nowszych, przejrzyj sekcję błędów dziennika zdarzeń , aby rozwiązać problemy.

Aby pomóc w wykrywaniu starszych klientów, którzy nie używają najsilniejszej dostępnej kryptowaluty, ta aktualizacja wprowadza dzienniki zdarzeń dla klientów korzystających z RC4.

Podpisywanie RPC polega na tym, że protokół Netlogon używa RPC do podpisywania wiadomości wysyłanych przez sieć. Pieczętowanie RPC polega na tym, że protokół Netlogon zarówno podpisuje, jak i szyfruje wiadomości wysyłane przez sieć.

Kontroler domeny systemu Windows określa, czy na kliencie Netlogon działa system Windows, badając atrybut "OperatingSystem" w usłudze Active Directory dla klienta Netlogon i sprawdzając, czy występują następujące ciągi:

• "Windows", "Hyper-V Server" i "Azure Stack HCI"

Nie zalecamy ani nie wspieramy zmiany tego atrybutu przez klientów usługi Netlogon lub administratorów domeny na wartość, która nie jest reprezentatywna dla systemu operacyjnego (OS) uruchomionego przez klienta usługi Netlogon. Pamiętaj, że w każdej chwili możemy zmienić kryteria wyszukiwania. Zobacz Zmiana 3.

Faza wymuszania nie odrzuca klientów usługi Netlogon na podstawie typu szyfrowania używanego przez klientów. Klienci Netlogon zostaną odrzuceni tylko wtedy, gdy podpisują RPC zamiast RPC Sealing. Odrzucanie klientów RC4 Netlogon jest oparte na kluczu rejestru "RejectMd5Clients" dostępnym dla kontrolerów domeny systemu Windows Windows Server 2008 R2 i nowszych. Faza wymuszania tej aktualizacji nie zmienia wartości "RejectMd5Clients". Zalecamy, aby klienci włączyli wartość "RejectMd5Clients" w celu zwiększenia bezpieczeństwa w swoich domenach. Zobacz Zmiana 3.

Advanced Encryption Standard (AES) to szyfr blokowy, który zastępuje standard szyfrowania danych (DES, Data Encryption Standard). AES może być używany do ochrony danych elektronicznych. Algorytm AES może służyć do szyfrowania (szyfrowania) i odszyfrowywania (odszyfrowywania) informacji. Szyfrowanie konwertuje dane na niezrozumiałą formę zwaną szyfrogramem; Odszyfrowanie szyfrowanego tekstu powoduje przekonwertowanie danych z powrotem na ich oryginalną postać, nazywaną zwykłym tekstem. AES jest używany w kryptografii klucza symetrycznego, co oznacza, że ten sam klucz jest używany do operacji szyfrowania i deszyfrowania. Jest to również szyfr blokowy, co oznacza, że operuje na blokach tekstu jawnego i szyfrowanego o stałym rozmiarze i wymaga, aby rozmiar tekstu jawnego, a także szyfrogramu był dokładną wielokrotnością tego rozmiaru bloku. AES jest również znany jako algorytm szyfrowania symetrycznego Rijndael [FIPS197] .

W środowisku zabezpieczeń sieci zgodnym z systemem operacyjnym Windows NT składnik odpowiedzialny za funkcje synchronizacji i konserwacji między podstawowym kontrolerem domeny a zapasowymi kontrolerami domeny (BDC). Netlogon jest prekursorem protokołu serwera replikacji katalogów (DRS). Interfejs zdalnego wywoływania procedur (RPC) protokołu Netlogon Remote Protocol jest używany przede wszystkim do obsługi relacji między urządzeniem a jego domeną oraz relacji między kontrolerami domeny i domenami. Aby uzyskać więcej informacji, zobacz Protokół zdalny Netlogon.

RC4-HMAC (RC4) to algorytm szyfrowania symetrycznego o zmiennej długości klucza. Więcej informacji można znaleźć w sekcji 17.1 [SCHNEIER].

Uwierzytelnione połączenie zdalnego wywołania procedury (RPC) między dwoma komputerami w domenie z ustalonym kontekstem zabezpieczeń używanym do podpisywania i szyfrowania pakietów RPC .