Nota
- Actualização 01/03/2025
- Removidas as referências ao passo de ativação manual. Esse passo era necessário antes de 14 de novembro de 2023, para Windows Server 2022, e 9 de janeiro de 2024, para Windows Server 2019.
Introdução
O enlace de canais LDAP e a assinatura LDAP oferecem maneiras de aumentar a segurança das comunicações entre clientes LDAP e controladores de domínio do Active Directory. Existe um conjunto de configurações padrão não seguras para enlace de canal LDAP e assinatura LDAP nos controladores de domínio do Active Directory que permitem que os clientes LDAP se comuniquem com eles sem impor o enlace de canal LDAP e a assinatura LDAP. Isto pode abrir controladores de domínio do Active Directory para uma vulnerabilidade de elevação de privilégio.
Esta vulnerabilidade pode permitir que um invasor man-in-the-middle encaminhe com êxito uma solicitação de autenticação para um servidor de domínio da Microsoft que não tenha sido configurado para exigir vinculação, assinatura ou selagem de canal em conexões de entrada.
A Microsoft recomenda que os administradores façam as alterações de proteção descritas no ADV190023.
Em 10 de março de 2020, resolvemos esta vulnerabilidade fornecendo as seguintes opções para os administradores endurecerem as configurações de enlace de canal LDAP em controladores de domínio do Active Directory:
- Controlador de domínio: requisitos de token de vinculação de canal de servidor LDAP Política de Grupo.
- Eventos de assinatura de Tokens de Ligação de Canal (CBT) 3039, 3040 e 3041 com o remetente do evento Microsoft-Windows-Active Directory_DomainService no registo de eventos do Serviço de Diretório.
Importante: As atualizações de 10 de março de 2020 e as atualizações no futuro próximo não alterarão as políticas padrão de assinatura LDAP ou vinculação de canal LDAP ou seu equivalente de registro em controladores de domínio do Active Directory novos ou existentes.
A assinatura LDAP Controlador de domínio: A política de requisitos de assinatura do servidor LDAP já existe em todas as versões suportadas do Windows. A partir do Windows Server 2022, 23H2 Edition, todas as novas versões do Windows conterão todas as alterações neste artigo.
Por que razão esta alteração foi necessária
A segurança dos controladores de domínio do Active Directory pode ser significativamente melhorada configurando o servidor para rejeitar ligações LDAP SASL (Simple Authentication and Security Layer) que não solicitam assinatura (verificação de integridade) ou para rejeitar ligações simples LDAP executadas em uma conexão de texto não criptografado (não SSL/TLS). As SASL podem incluir protocolos como Negotiate, Kerberos, NTLM e Digest.
O tráfego de rede não assinado é suscetível a ataques de reprodução em que um intruso interceta a tentativa de autenticação e a emissão de uma permissão. O intruso pode reutilizar a permissão para usurpar a identidade do utilizador legítimo. Além disso, o tráfego de rede não assinado é suscetível a ataques "man-in-the-middle" (MiTM) em que um intruso capta pacotes entre o cliente e o servidor, altera os pacotes e, em seguida, encaminha-os para o servidor. Se isso ocorrer em um controlador Domínio do Active Directory, um invasor pode fazer com que um servidor tome decisões baseadas em solicitações forjadas do cliente LDAP. O LDAPS usa sua própria porta de rede distinta para conectar clientes e servidores. A porta padrão para LDAP é a porta 389, mas o LDAPS usa a porta 636 e estabelece SSL/TLS ao se conectar com um cliente.
Os tokens de vinculação de canal ajudam a tornar a autenticação LDAP por SSL/TLS mais segura contra ataques man-in-the-middle.
Atualizações de 10 de março de 2020
Importante As atualizações de 10 de março de 2020 não alteraram as políticas predefinidas de assinatura LDAP ou de enlace de canais LDAP, nem o equivalente no registo em controladores de domínio do Active Directory novos ou existentes.
As atualizações do Windows lançadas a 10 de março de 2020 adicionaram as seguintes funcionalidades:
- São registados novos eventos no Visualizador de Eventos relacionados com a associação de canais LDAP. Consulte as Tabelas 1 e 2 para obter detalhes sobre estes eventos.
- Um novo controlador de domínio: os requisitos de token de vinculação de canal do servidor LDAP Política de Grupo para configurar a vinculação de canal LDAP em dispositivos suportados.
O mapeamento entre as configurações da Política de Assinatura LDAP e as configurações do Registro está incluído da seguinte forma:
- Definição de políticas: "Controlador de domínio: requisitos de assinatura do servidor LDAP"
- Definição do registo: LDAPServerIntegrity
- Tipo de Dados: DWORD
- Caminho do Registo: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| Definição Política de Grupo | Definição do Registo |
|---|---|
| Nenhum | 1 |
| Preciso de assinatura | 2 |
O mapeamento entre as configurações da Política de Vinculação de Canal LDAP e as configurações do Registro está incluído da seguinte forma:
- Definição de políticas: "Controlador de domínio: requisitos de token de vinculação de canal de servidor LDAP"
- Definição do registo: LdapEnforceChannelBinding
- Tipo de Dados: DWORD
- Caminho do Registo: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| Definição Política de Grupo | Definição do Registo |
|---|---|
| Nunca | 0 |
| Quando Suportado | 1 |
| Sempre | 2 |
Tabela 1: Eventos de assinatura LDAP
| ID de Evento | Descrição | Gatilho |
|---|---|---|
| 2886 | A segurança desses controladores de domínio pode ser significativamente melhorada configurando o servidor para impor a validação da assinatura LDAP. | Acionado a cada 24 horas, no arranque ou no início do serviço, se o Política de Grupo estiver definido como Nenhum. Nível mínimo de registo: 0 ou superior |
| 2887 | A segurança desses controladores de domínio pode ser melhorada configurando-os para rejeitar solicitações de associação LDAP simples e outras solicitações de ligação que não incluem assinatura LDAP. | Acionado a cada 24 horas quando Política de Grupo definido como Nenhum e pelo menos uma associação desprotegida foi concluída. Nível mínimo de registo: 0 ou superior |
| 2888 | A segurança desses controladores de domínio pode ser melhorada configurando-os para rejeitar solicitações de associação LDAP simples e outras solicitações de ligação que não incluem assinatura LDAP. | Acionado a cada 24 horas quando Política de Grupo definido como Exigir assinatura e pelo menos um vínculo desprotegido foi rejeitado. Nível mínimo de registo: 0 ou superior |
| 2889 | A segurança desses controladores de domínio pode ser melhorada configurando-os para rejeitar solicitações de associação LDAP simples e outras solicitações de ligação que não incluem assinatura LDAP. | Acionado quando um cliente não usa a assinatura para vinculações em sessões na porta 389. Nível mínimo de registo: 2 ou superior |
Tabela 2: Eventos de TCC
| Evento | Descrição | Gatilho |
|---|---|---|
| 3039 | O seguinte cliente efetuou um enlace LDAP através de SSL/TLS e falhou na validação do token de enlace de canal LDAP. | Acionado em qualquer uma das seguintes circunstâncias:
|
| 3040 | Durante o período anterior de 24 horas, foram realizadas # ligações de LDAPs desprotegidas. | Acionado a cada 24 horas quando a Política de Grupo CBT está definida como Nunca e pelo menos uma ligação desprotegida foi concluída. Nível mínimo de registo: 0 |
| 3041 | A segurança deste servidor de diretório pode ser significativamente melhorada configurando o servidor para impor a validação de tokens de vinculação de canal LDAP. | Acionado a cada 24 horas, na inicialização ou no início do serviço, se o Política de Grupo CBT estiver definido como Nunca. Nível mínimo de registo: 0 |
Para definir o nível de registo no registo, utilize um comando semelhante ao seguinte:
Reg Add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics /v "16 LDAP Interface Events" /t REG_DWORD /d 2
Para obter mais informações sobre como configurar o log de eventos de diagnóstico do Active Directory, consulte Como configurar o log de eventos de diagnóstico do Active Directory e do LDS.
Atualizações de 8 de agosto de 2023
Algumas máquinas cliente não podiam utilizar tokens de enlace de canais LDAP para se ligarem aos controladores de domínio (DCs) do Active Directory. A Microsoft lançou uma atualização de segurança a 8 de agosto de 2023. Para o Windows Server 2022, esta atualização adicionou opções para os administradores auditarem estes clientes. Pode ativar os eventos CBT 3074 e 3075 com a origem do evento **Microsoft-Windows-ActiveDirectory_DomainService** no registo de eventos do Serviço de Diretório.
Importante A atualização de 8 de agosto de 2023 não alterou a assinatura LDAP, as políticas predefinidas de enlace de canais LDAP ou o seu equivalente de registo em DCs do Active Directory novos ou existentes.
Todas as orientações na secção de atualizações de março de 2020 também se aplicam aqui. Os novos eventos de auditoria exigirão as definições de registo e de política descritas nas orientações acima. Houve também uma etapa de habilitação para ver os novos eventos de auditoria. Mas as atualizações de 14 de novembro de 2023 removeram essa etapa de habilitação. Os novos detalhes de implementação estão na secção Ações Recomendadas abaixo.
Tabela 3: Eventos de TCC
| Evento | Descrição | Gatilho |
|---|---|---|
| 3074 | O cliente a seguir executou um enlace LDAP sobre SSL/TLS e teria falhado na validação do token de vinculação de canal se o servidor de diretório estivesse configurado para impor a validação de Tokens de Vinculação de Canal. | Acionado em qualquer uma das seguintes circunstâncias:
|
| 3075 | O seguinte cliente efetuou um enlace LDAP através de SSL/TLS e não forneceu Informações de Ligação de Canal. Quando esse servidor de diretório é configurado para impor a validação de Tokens de Vinculação de Canal, essa operação de vinculação será rejeitada. | Acionado em qualquer uma das seguintes circunstâncias:
|
Observação Quando define o nível de registo para pelo menos 2, é registado o ID de Evento 3074. Os administradores podem usar isso para auditar seu ambiente para clientes que não trabalham com tokens de vinculação de canal. Os eventos irão conter as seguintes informações de diagnóstico para identificar os clientes:
Client IP address:
192.168.10.5:62709
Identidade que o cliente tentou autenticar como:
CONTOSO\Administrador
O cliente suporta vinculação de canal:FALSE
Cliente permitido no modo suportado:TRUE
Sinalizadores de resultados de auditoria:0x42
| Nome da bandeira | Valor do Sinalizador | Comentar |
|---|---|---|
| SEC_CHANNEL_BINDINGS_RESULT_CLIENT_SUPPORT | 0x01 | O pacote de autenticação indica que as versões do cliente devem suportar associações |
| SEC_CHANNEL_BINDINGS_RESULT_ABSENT | 0x02 | As associações são omitidas ou todos os zeros |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISMATCH | 0x04 | O hash de ligação do canal estava incorreto |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISSING | 0x08 | Não são permitidas ligações de canal em falta para este cliente |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MATCHED | 0x10 | As associações de cliente e servidor correspondem |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_PROXY | 0x20 | ASC_REQ_PROXY_BINDINGS exigia que o cliente fornecesse uma ligação |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MISSING | 0x40 | Cliente permitido pela ASC_REQ_ALLOW_MISSING_BINDINGS |
Um valor de sinalizador incluindo bits 0x30 é um campo CBT válido, valor de sinalizador incluindo bits 0x0C significa um CBT falsificado.
Atualizações de 10 de outubro de 2023
As alterações de auditoria adicionadas em agosto de 2023 estão agora disponíveis em Windows Server 2019. Para esse sistema operacional, a atualização adicionou opções para os administradores auditarem esses clientes. Pode ativar os eventos CBT 3074 e 3075. Utilize a origem do evento **Microsoft-Windows-ActiveDirectory_DomainService** no registo de eventos do Serviço de Diretório.
Importante A atualização de 10 de outubro de 2023 não alterou a assinatura LDAP, as políticas predefinidas de enlace de canais LDAP ou o equivalente no registo em DCs do Active Directory novos ou existentes.
Todas as orientações na secção de atualizações de março de 2020 também se aplicam aqui. Os novos eventos de auditoria exigirão as definições de registo e de política descritas nas orientações acima. Houve também uma etapa de habilitação para ver os novos eventos de auditoria. Mas as atualizações de 9 de janeiro de 2024 removeram essa etapa de habilitação. Os novos detalhes de implementação estão na secção Ações Recomendadas abaixo.
Atualizações de 14 de novembro de 2023
As alterações de auditoria adicionadas em agosto de 2023 estão agora disponíveis no Windows Server 2022 sem exigir um passo de ativação manual. Siga os passos em Ações Recomendadas.
Atualizações de 9 de janeiro de 2024
As alterações de auditoria adicionadas em outubro de 2023 estão agora disponíveis em Windows Server 2019 sem exigir uma etapa de ativação manual. Siga os passos em Ações Recomendadas.
Ações recomendadas
Aconselhamos vivamente os clientes a tomarem as seguintes medidas o mais rapidamente possível:
Certifique-se de que as atualizações do Windows de 10 de março de 2020 ou posteriores estão instaladas em computadores com função de controlador de domínio (DC). Se quiser ativar os eventos de auditoria de Vinculação de Canal LDAP, certifique-se de que as atualizações de 14 de novembro de 2023 ou posteriores estão instaladas nos DCs do Windows Server 2022 ou Server 2019.
Habilite o log de diagnóstico de eventos LDAP para 2 ou superior.
Monitore o log de eventos dos serviços de diretório em todos os computadores com função DC filtrados para:
- Evento de falha de assinatura LDAP 2889 na Tabela 1.
- Evento de falha de enlace de canal LDAP 3039 na Tabela 2.
- Eventos de auditoria 3074 e 3075 do LDAP Channel Binding na Tabela 3.
Observação Os eventos 3039, 3074 e 3075 só podem ser gerados quando o Enlace de Canal está definido como Quando Suportado ou Always.
Identifique a marca, o modelo e o tipo de dispositivo para cada endereço IP citado por:
- Evento 2889 para efetuar chamadas LDAP não assinadas
- Evento 3039 para não utilizar o Enlace de Canal LDAP
- Evento 3074 ou 3075 por não ser possível Enlace de Canal LDAP
Tipos de dispositivos
Agrupe os tipos de dispositivo em 1 de 3 categorias:
Aparelho ou router -
- Contacte o fornecedor do dispositivo.
Dispositivo que não é executado num sistema operativo Windows -
- Verifique se o enlace de canal LDAP e a assinatura LDAP são suportados no sistema operacional e no aplicativo. Pode fazê-lo em conjunto com o sistema operativo e o fornecedor de aplicações.
Dispositivo que é executado num sistema operativo Windows -
- A assinatura LDAP está disponível para ser utilizada por todas as aplicações em todas as versões suportadas do Windows. Verifique se seu aplicativo ou serviço está usando assinatura LDAP.
- O enlace de canais LDAP requer que todos os dispositivos Windows tenham o CVE-2017-8563 instalado. Verifique se seu aplicativo ou serviço está usando a associação de canal LDAP.
Utilize ferramentas de rastreio locais, remotas, genéricas ou específicas do dispositivo. Estes incluem capturas de rede, o gestor de processos ou rastreios de depuração. Determine se o sistema operacional principal, um serviço ou um aplicativo está executando ligações LDAP não assinadas ou não está usando CBT.
Utilize o Gestor de Tarefas do Windows ou equivalente para mapear o ID do processo para nomes de processos, serviços e aplicações.
Agenda da atualização de segurança
A atualização de 10 de março de 2020 adicionou controlos para administradores para fortalecer as configurações de enlace de canais LDAP e assinatura LDAP nos controladores de domínio do Active Directory. As atualizações de 8 de agosto e 10 de outubro de 2023 adicionaram opções para administradores auditarem máquinas cliente que não podem usar tokens de vinculação de canal LDAP. Recomendamos vivamente que os clientes realizem as ações recomendadas neste artigo o mais rapidamente possível.
| Data Alvo | Evento | Aplicável A |
|---|---|---|
| 10 de março de 2020 |
Necessário: Atualização de Segurança disponível no Windows Update para todas as plataformas Windows suportadas. Observação Para plataformas Windows que dispõem de suporte padrão, esta atualização de segurança só estará disponível através dos programas de suporte alargado aplicáveis. O suporte de vinculação de canal LDAP foi adicionado pelo CVE-2017-8563 no Windows Server 2008 e versões posteriores. Os tokens de vinculação de canal são suportados no Windows 10, versão 1709 e versões posteriores. O Windows XP não suporta vinculação de canal LDAP e falharia quando a vinculação de canal LDAP fosse configurada usando um valor de Always, mas interoperaria com DCs configurados para usar uma configuração de vinculação de canal LDAP mais relaxada de Quando suportado. |
Windows Server 2022 Windows 10, versão 20H2 Windows 10, versão 1909 (19H2) Windows Server 2019 (1809 \ RS5) Windows Server 2016 (1607 \ RS1) Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 (ESU) Windows Server 2008 SP2 (Extensão das Atualizações de Segurança (ESU)) |
| 8 de agosto de 2023 | Adiciona eventos de auditoria de token de enlace de canal LDAP (3074 & 3075). São desativadas por predefinição no Windows Server 2022. | Windows Server 2022 |
| 10 de outubro de 2023 | Adiciona eventos de auditoria de token de enlace de canal LDAP (3074 & 3075). São desativadas por predefinição no Windows Server 2019. | Windows Server 2019 |
| 14 de novembro de 2023 | Os eventos de auditoria de token de vinculação de canal LDAP estão disponíveis no Windows Server 2022 sem a necessidade de uma etapa de habilitação manual. | Windows Server 2022 |
| 9 de janeiro de 2024 | Os eventos de auditoria de token de vinculação de canal LDAP estão disponíveis no Windows Server 2019 sem a necessidade de uma etapa de habilitação manual. | Windows Server 2019 |
Perguntas mais frequentes
Para obter respostas às perguntas mais frequentes sobre o enlace de canais LDAP e a assinatura LDAP nos controladores de domínio do Active Directory, consulte: