Log de mudanças
Alteração 1: 19 de junho de 2023:
|
|---|
Neste artigo
- Resumo
- Descobrindo Tipos de Criptografia de Chave de Sessão Definidos explicitamente
- Configurações da Chave do Registro
- Eventos do Windows relacionados a CVE-2022-37966
- Perguntas Frequentes (FAQs) e Problemas Conhecidos
- Glossário
Resumo
As atualizações do Windows lançadas em ou após 8 de novembro de 2022 abordam o bypass de segurança e a vulnerabilidade de elevação de privilégio com Negociação de Autenticação usando negociação RC4-HMAC fraca.
Esta atualização definirá AES como o tipo de criptografia padrão para chaves de sessão em contas que ainda não estão marcadas com um tipo de criptografia padrão.
Para ajudar a proteger seu ambiente, instale atualizações do Windows lançadas a partir de 8 de novembro de 2022 em todos os dispositivos, incluindo controladores de domínio. Consulte Alteração 1.
Para saber mais sobre essas vulnerabilidades, consulte CVE-2022-37966.
Descobrindo Tipos de Criptografia de Chave de Sessão Definidos explicitamente
Você pode ter definido explicitamente tipos de criptografia em suas contas de usuário que são vulneráveis ao CVE-2022-37966. Procure contas em que o DES/RC4 está explicitamente habilitado, mas não o AES usando a seguinte consulta do Active Directory:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Configurações da Chave do Registro
Depois de instalar as atualizações do Windows datadas de 8 de novembro de 2022, a seguinte chave de registro ficará disponível para o protocolo Kerberos:
DefaultDomainSupportedEncTypes
| Chave do Registro | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Valor | DefaultDomainSupportedEncTypes |
| Tipo de dados | REG_DWORD |
| Valor dos dados | 0x27 (Padrão) |
| Reinicialização necessária? | Não |
Observação Se você precisar alterar o Tipo de Criptografia com Suporte padrão para um usuário ou computador do Active Directory, adicione manualmente e configure a chave do Registro para definir o novo Tipo de Criptografia com Suporte. Essa atualização não adiciona automaticamente a chave do Registro.
Os controladores de domínio do Windows usam esse valor para determinar os tipos de criptografia com suporte em contas no Active Directory cujo valor msds-SupportedEncryptionType está vazio ou não está definido. Um computador que está executando uma versão compatível do sistema operacional Windows define automaticamente o msds-SupportedEncryptionTypes para essa conta de computador no Active Directory. Isso se baseia no valor configurado dos tipos de criptografia que o protocolo Kerberos tem permissão para usar. Para obter mais informações, consulte Segurança de rede: configurar tipos de criptografia permitidos para Kerberos.
Contas de usuários, contas de Serviço Gerenciado de Grupo e outras contas no Active Directory não têm o valor msds-SupportedEncryptionTypes definido automaticamente.
Para localizar os Tipos de Criptografia Suportados que você pode definir manualmente, consulte Sinalizadores de Bit de Tipos de Criptografia Suportados. Para obter mais informações, consulte o que você deve fazer primeiro para ajudar a preparar o ambiente e evitar problemas de autenticação Kerberos.
O valor padrão 0x27 (DES, RC4, Chaves de Sessão AES) foi escolhido como a alteração mínima necessária para esta atualização de segurança. Recomendamos que os clientes definam o valor como 0x3C para aumentar a segurança, pois esse valor permitirá tíquetes criptografados por AES e chaves de sessão AES. Se os clientes seguiram nossa orientação para mudar para um ambiente somente AES em que o RC4 não é usado para o protocolo Kerberos, recomendamos que os clientes definam o valor como 0x38. Consulte Alteração 1.
Eventos do Windows relacionados a CVE-2022-37966
O Centro de Distribuição de Chaves Kerberos não tem chaves fortes para conta
| Log de eventos | Sistema |
|---|---|
| Tipo de Evento | Erro |
| Origem do evento | Kdcsvc |
| ID do Evento | 42 |
| Texto do Evento | O Centro de Distribuição de Chaves não tem chaves fortes para a conta: accountname. Você deve atualizar a senha desta conta para evitar o uso de criptografia insegura. Consulte https://go.microsoft.com/fwlink/?linkid=2210019 para saber mais. |
Se você encontrar esse erro, provavelmente deverá redefinir sua senha krbtgt antes de definir KrbtgtFullPacSingature = 3 ou instalar as Atualizações do Windows lançadas em ou após 11 de julho de 2023. A atualização que habilita programaticamente o modo de imposição para o CVE-2022-37967 está documentada no seguinte artigo na Base de Dados de Conhecimento Microsoft:
KB5020805: como gerenciar as alterações do protocolo Kerberos relacionadas ao CVE-2022-37967
Para obter mais informações sobre como fazer isso, consulte o tópico New-KrbtgtKeys.ps1 no site do GitHub.
Perguntas frequentes (FAQ) e problemas conhecidos
Em que circunstâncias meu ambiente é vulnerável?
As contas sinalizadas para uso explícito de RC4 são vulneráveis. Além disso, os ambientes que não possuem chaves de sessão AES na conta krbgt podem estar vulneráveis. Para atenuar esse problema, siga as orientações sobre como identificar vulnerabilidades e use a seção de configuração da chave do registro para atualizar os padrões de criptografia definidos explicitamente.
O que devo fazer primeiro para ajudar a preparar meu ambiente e evitar problemas de autenticação Kerberos após a instalação de atualizações lançadas a partir de 8 de novembro de 2022 nos controladores de domínio?
Você precisará verificar se todos os seus dispositivos têm um tipo de criptografia Kerberos comum. Para obter mais informações sobre os tipos de Criptografia Kerberos, consulte Descriptografando a Seleção de Tipos de Criptografia Kerberos Suportados.
Ambientes sem um tipo de Criptografia Kerberos comum podem ter funcionado anteriormente devido à adição automática de RC4 ou pela adição de AES, se o RC4 foi desabilitado por meio da política de grupo pelos controladores de domínio. Esse comportamento foi alterado com as atualizações lançadas a partir de 8 de novembro de 2022 e agora seguirá estritamente o que está definido nas chaves de registro, msds-SupportedEncryptionTypes e DefaultDomainSupportedEncTypes.
Se a conta não tiver msds-SupportedEncryptionTypes definida ou estiver definida como 0, os controladores de domínio assumirão um valor padrão de 0x27 (39) ou o domínio o controlador usará a configuração na chave de registro DefaultDomainSupportedEncTypes.
Se a conta tiver msds-SupportedEncryptionTypes definido, essa configuração será respeitada e poderá expor uma falha na configuração de um tipo de Criptografia Kerberos comum mascarado pelo comportamento anterior de adicionar automaticamente RC4 ou AES, que não é mais o comportamento após a instalação de atualizações lançadas a partir de 8 de novembro de 2022.
Para obter informações sobre como verificar se você tem um tipo de Criptografia Kerberos comum, consulte a pergunta Como posso verificar se todos os meus dispositivos têm um tipo de Criptografia Kerberos comum?
Como posso verificar se todos os meus dispositivos têm um tipo de Criptografia Kerberos comum?
Consulte a pergunta anteriorpara obter mais informações sobre por que seus dispositivos podem não ter um tipo de Criptografia Kerberos comum após a instalação de atualizações lançadas a partir de 8 de novembro de 2022.
Se você já instalou atualizações lançadas a partir de 8 de novembro de 2022, poderá detectar dispositivos que não tenham um tipo de Criptografia Kerberos comum procurando no Log de Eventos o Evento 27 do Microsoft-Windows-Kerberos-Key-Distribution-Center, que identifica tipos de criptografia separados entre clientes Kerberos e servidores ou serviços remotos.
Estou tendo problemas de autenticação Kerberos em meu ambiente após a instalação de atualizações lançadas a partir de 8 de novembro de 2022. Preciso resolver esses problemas em dispositivos cliente Windows ou servidores Windows que não executam a função de Controlador de Domínio?
A instalação de atualizações lançadas a partir de 8 de novembro de 2022 em clientes ou servidores de função não Controlador de Domínio não deve afetar a autenticação Kerberos em seu ambiente.
Depois de instalar as atualizações lançadas a partir de 8 de novembro de 2022 em controladores de domínio, estou enfrentando um vazamento de memória com o serviço LSASS (LSASS.exe). O que posso fazer?
Para atenuar esse problema conhecido, abra uma janela do Prompt de Comando como administrador e use temporariamente o seguinte comando para definir a chave do Registro KrbtgtFullPacSignature como 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Observação
Observação Depois que esse problema conhecido for resolvido, você deverá definir KrbtgtFullPacSignature para uma configuração mais alta, dependendo do que seu ambiente permitir. Recomendamos que o Modo de imposição seja habilitado assim que o ambiente estiver pronto.
Próximas etapas Estamos trabalhando em uma resolução e forneceremos uma atualização em uma versão futura.
Por que estou tendo falhas de autenticação Kerberos com dispositivos não Windows em meu ambiente?
Depois de instalar as atualizações lançadas a partir de 8 de novembro de 2022 em seus controladores de domínio, todos os dispositivos devem oferecer suporte à assinatura de tíquete AES conforme necessário para estar em conformidade com o reforço de segurança exigido para CVE-2022-37967.
Próximas etapas Se você já estiver executando o software e o firmware mais atualizados para seus dispositivos não Windows e tiver verificado que existe um tipo de criptografia comum disponível entre seus controladores de domínio do Windows e seus dispositivos não Windows, você precisará entrar em contato com seu fabricante do dispositivo (OEM) para obter ajuda ou substituir os dispositivos por outros compatíveis.
Observação
IMPORTANTE Não recomendamos o uso de nenhuma solução alternativa para permitir a autenticação de dispositivos não compatíveis, pois isso pode tornar seu ambiente vulnerável.
Meus dispositivos que executam uma versão incompatível do Windows não conseguem mais acessar recursos em meu ambiente. Além disso, esses dispositivos não podem ser acessados de dispositivos Windows atualizados em meu ambiente. O que posso fazer?
As versões sem suporte do Windows incluem Windows XP, Windows Server 2003, Windows Server 2008 SP2 e o Windows Server 2008 R2 SP1 não podem ser acessadas por dispositivos Windows atualizados, a menos que você tenha uma licença ESU. Se você tiver uma licença ESU, precisará instalar as atualizações lançadas a partir de 8 de novembro de 2022 e verificar se sua configuração tem um tipo de Criptografia comum disponível entre todos os dispositivos.
Próximas etapas Instale atualizações, se estiverem disponíveis para sua versão do Windows e você tiver a licença ESU aplicável. Se as atualizações não estiverem disponíveis, você precisará atualizar para uma versão compatível do Windows ou mover qualquer aplicativo ou serviço para um dispositivo compatível.
Observação
IMPORTANTE Não recomendamos o uso de nenhuma solução alternativa para permitir a autenticação de dispositivos não compatíveis, pois isso pode tornar seu ambiente vulnerável.
Todos os meus dispositivos têm um tipo de Criptografia comum e estão configurados para usar apenas AES. Por que ainda vejo erros de autenticação Kerberos depois de instalar especificamente a atualização de 8 de novembro de 2022?
Esse problema conhecido foi resolvido em atualizações fora de banda lançadas em 17 de novembro de 2022 e 18 de novembro de 2022 para instalação em todos os controladores de domínio do seu ambiente. Não é necessário instalar nenhuma atualização ou fazer alterações em outros servidores ou dispositivos cliente em seu ambiente para resolver esse problema. Se você usou alguma solução alternativa ou mitigação para esse problema, eles não serão mais necessários e recomendamos removê-los.
Para obter o pacote autônomo para essas atualizações fora de banda, pesquise o número da KB no Catálogo do Microsoft Update. Você pode importar manualmente essas atualizações para Windows Server Update Services (WSUS) e Microsoft Endpoint Configuration Manager. Para obter instruções do WSUS, consulte WSUS e o Site de Catálogo. Para obter instruções do Configuration Manager, consulte Importar atualizações do Catálogo do Microsoft Update.
Observação
Observação As atualizações a seguir não estão disponíveis no Windows Update e não serão instaladas automaticamente.
Atualizações cumulativas:
Observação
Observação Você não precisa aplicar nenhuma atualização anterior antes de instalar essas atualizações cumulativas. Se você já instalou as atualizações lançadas em 8 de novembro de 2022, não é necessário desinstalar aquelas afetadas antes de instalar as atualizações posteriores, incluindo as listadas acima.
Atualizações Autônomas:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (lançado em 18 de novembro de 2022)
- Windows Server 2008 SP2: KB5021657
Observação
Observações
- Se você usa atualizações somente de segurança para essas versões do Windows Server, só precisa instalar essas atualizações autônomas para o mês de novembro de 2022. As atualizações somente de segurança não são cumulativas e você também precisará instalar todas as atualizações anteriores somente de segurança para estar totalmente atualizado. As atualizações de Rollup mensais são cumulativas e incluem segurança e todas as atualizações de qualidade.
- Se você usar atualizações de Rollup Mensais, precisará instalar ambas as atualizações independentes listadas acima para resolver esse problema e instalar as atualizações cumulativas mensais lançadas em 8 de novembro de 2022 para receber as atualizações de qualidade de novembro de 2022. Se você já instalou as atualizações lançadas em 8 de novembro de 2022, não é necessário desinstalar aquelas afetadas antes de instalar as atualizações posteriores, incluindo as listadas acima.
Estou usando um aplicativo em meus dispositivos Windows que usa uma implementação não Microsoft do Kerberos e estou tendo problemas de autenticação do Kerberos. O que posso fazer?
Se você verificou a configuração do seu ambiente e ainda está encontrando problemas com qualquer implementação de Kerberos que não seja da Microsoft, precisará de atualizações ou suporte do desenvolvedor ou fabricante do aplicativo ou dispositivo.
Tenho msds-SupportedEncryptionTypes definidos no Active Directory para todas as contas configuradas como diferentes de zero sem nenhum bit de tipo de criptografia definido (5 bits menos significativos), mas estou tendo falhas de autenticação após a instalação de atualizações lançadas a partir de 8 de novembro de 2022 nos controladores de domínio. O que posso fazer?
Esse problema conhecido pode ser atenuado seguindo um destes procedimentos:
Defina msds-SupportedEncryptionTypes com bit a bit ou defina-o como o padrão atual 0x27 para preservar seu valor atual. Por exemplo:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Defina msds-SupportEncryptionTypes como 0 para permitir que os controladores de domínio usem o valor padrão de 0x27.
Próximas etapas Estamos trabalhando em uma resolução e forneceremos uma atualização em uma versão futura.
Glossário
Advanced Encryption Standard (AES)
O Padrão Avançado de Criptografia (AES) é uma cifra de bloco que substitui o Padrão de Criptografia de Dados (DES). O AES pode ser usado para proteger dados eletrônicos. O algoritmo do AES pode ser usado para criptografar (cercar) e descriptografar informações (decifrar). A criptografia converte dados em uma forma não qualificada chamada de texto cifrado; descriptografar o texto cifrado converte os dados de volta à sua forma original, chamada de texto não criptografado. O AES é usado na criptografia de chave simétrica, o que significa que a mesma chave é usada para as operações de criptografia e descriptografia. Também é uma criptografia de bloco, o que significa que opera em blocos de tamanho fixo de texto não criptografado e texto cifrado e exige que o tamanho do texto não criptografado, assim como o texto cifrado, seja um múltiplo exato desse tamanho de bloco. O AES também é conhecido como o Algoritmo de criptografia simétrica Rijndael [FIPS197].
Kerberos
O Kerberos é um protocolo de autenticação de rede de computadores que funciona com base em “tíquetes” para permitir que os nós que se comunicam em uma rede provem sua identidade uns aos outros de maneira segura.
KDC (Centro de Distribuição de Chaves)
O serviço Kerberos que implementa os serviços de autenticação e concessão de tíquete especificados no protocolo Kerberos. O serviço é executado em computadores selecionados pelo administrador do realm ou domínio; ele não está presente em todos os computadores na rede. Ele deve ter acesso a um banco de dados de conta para o realm que ele serve. Os KDCs são integrados à função de controlador de domínio . É um serviço de rede que fornece tíquetes aos clientes para uso na autenticação de serviços.
RC4-HMAC
RC4-HMAC (RC4) é um algoritmo de criptografia simétrica de comprimento de chave variável. Para obter mais informações, consulte [SCHNEIER] seção 17.1.
Chave de Sessão
Uma chave simétrica de duração relativamente curta (uma chave de criptografia negociada pelo cliente e o servidor com base em um segredo compartilhado). A vida útil de uma chave de sessão é limitada pela sessão à qual está associada. Uma chave de sessão deve ser forte o suficiente para resistir à criptoanálise durante a vida útil da sessão.
Tíquete de concessão de Tíquete
Um tipo especial de tíquete que pode ser usado para obter outros tíquetes. O TGT (tíquete de concessão de tíquetes) é obtido após a autenticação inicial na troca do AS (Serviço de Autenticação). Depois disso, os usuários não precisam apresentar suas credenciais, mas podem usar o TGT para obter tíquetes subsequentes.