Introdução
A Microsoft está anunciando a disponibilidade de um novo recurso, Proteção Estendida para Autenticação (EPA), na plataforma Windows. Esse recurso aprimora a proteção e o manuseio de credenciais ao autenticar conexões de rede usando a Autenticação Integrada do Windows (IWA).
A atualização em si não fornece proteção direta contra ataques específicos, como o encaminhamento de credenciais, mas permite que os aplicativos optem pela EPA. Este comunicado informa os desenvolvedores e administradores de sistema sobre essa nova funcionalidade e como ela pode ser implantada para ajudar a proteger as credenciais de autenticação.
Para obter mais informações, consulte Comunicado de Segurança da Microsoft 973811.
Mais Informações
Essa atualização de segurança modifica a interface SSPI (SSPI) para aprimorar a maneira como a autenticação do Windows funciona, de forma que as credenciais não sejam facilmente encaminhadas quando o IWA estiver habilitado.
Quando o EPA está ativado, as solicitações de autenticação são vinculadas aos Nomes de Entidades de Serviço (SPN) do servidor ao qual o cliente tenta se conectar e ao canal externo de Segurança da Camada de Transporte (TLS) sobre o qual ocorre a autenticação IWA.
A atualização adiciona uma nova entrada de registro para gerenciar a Proteção Estendida:
Defina o valor do Registro SuppressExtendedProtection.
Chave do Registro HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA Valor SuppressExtendedProtection Tipo REG_DWORD Dados 0 Ativa a tecnologia de proteção.
1 Proteção Estendida desabilitada.
3 A Proteção Estendida está desativada e as ligações de canais enviadas pelo Kerberos também estão desativadas, mesmo que o aplicativo as forneça.
Valor padrão: 0x0
Observação Um problema que ocorre quando o EPA está habilitado por padrão é descrito no tópico Falha de autenticação de servidores não-Windows NTLM ou Kerberos no site da Microsoft.Defina o valor do registro LmCompatibilityLevel.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel a 3. Esta é uma chave existente que permite a autenticação NTLMv2. O EPA se aplica apenas aos protocolos de autenticação NTLMv2, Kerberos, Digest e Negociation e não se aplica ao NTLMv1.
Observação Tem de reiniciar o computador depois de definir os valores de registo SuppressExtendedProtection e LmCompatibilityLevel num computador Windows.
Habilita Proteção Estendida
Observação Por predefinição, a Proteção Expandida e o NTLMv2 estão ativados em todas as versões suportadas do Windows. Você pode usar este guia para verificar se esse é o caso.
Importante Este método, seção ou tarefa contém etapas que informam como modificar o Registro. No entanto, podem ocorrer problemas graves se você modificar o registro incorretamente. Portanto, fique atento e siga estas etapas com atenção. Para se proteger ainda mais, faça o backup do registro antes de modificá-lo. Dessa forma, se ocorrer algum problema, você poderá restaurar o Registro. Para obter mais informações sobre como fazer o backup e a restauração do Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:
- KB322756 Como fazer uma cópia de segurança e restaurar o registo no Windows
Para habilitar você mesmo a Proteção Estendida depois de baixar e instalar a atualização de segurança para sua plataforma, siga estas etapas:
Inicie o Editor do Registro. Para fazer isso, clique em Iniciar, clique em Executar, digite regedit na caixa Abrir e clique em OK.
Localize e clique na seguinte subchave do Registro:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSAVerifique se os valores do registro SuppressExtendedProtection e LmCompatibilityLevel estão presentes.
Se os valores do registro não estiverem presentes, siga estas etapas para criá-los:
- Com a subchave de registro listada na etapa 2 selecionada, no menu Editar, aponte para Novo e clique em Valor DWORD.
- Digite SuppressExtendedProtection e pressione Enter.
- Com a subchave de registro listada na etapa 2 selecionada, no menu Editar, aponte para Novo e clique em Valor DWORD.
- Digite LmCompatibilityLevel e pressione Enter.
Clique para selecionar o valor do Registro SuppressExtendedProtection.
No menu Editar, clique em Modificar.
Na caixa Dados do valor, digite 0 e clique em OK.
Clique para selecionar o valor do Registro LmCompatibilityLevel.
No menu Editar, clique em Modificar.
Observação Esta etapa altera os requisitos de autenticação NTLM. Leia o artigo a seguir na Base de Dados de Conhecimento da Microsoft para verificar se você está familiarizado com esse comportamento.
KB239869 Como ativar a autenticação NTLM 2Na caixa Dados de valor, digite 3 e clique em OK.
Saia do Editor do Registro.
Se você fizer essas alterações em um computador Windows, será necessário reiniciar o computador antes que as alterações entrem em vigor.