Introdução
A Microsoft está anunciando a disponibilidade de um novo recurso, Proteção Estendida para Autenticação (EPA), na plataforma Windows. Esta funcionalidade melhora a proteção e o processamento de credenciais ao autenticar ligações de rede através da Autenticação Integrada do Windows (IWA).
A atualização em si não fornece proteção direta contra ataques específicos, como encaminhamento de credenciais, mas permite que os aplicativos optem pelo EPA. Este comunicado informa os desenvolvedores e administradores de sistema sobre essa nova funcionalidade e como ela pode ser implantada para ajudar a proteger as credenciais de autenticação.
Para obter mais informações, consulte Comunicado de Segurança da Microsoft 973811.
Mais Informações
Esta atualização de segurança modifica a Interface do Fornecedor de Suporte de Segurança (SSPI) para melhorar a forma como a autenticação do Windows funciona para que as credenciais não sejam facilmente reencaminhadas quando o IWA está ativado.
Quando o EPA é habilitado, as solicitações de autenticação são vinculadas aos SPN (Service Principal Names) do servidor ao qual o cliente tenta se conectar e ao canal externo TLS (Transport Layer Security) pelo qual a autenticação IWA ocorre.
A atualização adiciona uma nova entrada de registo para gerir a Proteção Expandida:
Defina o valor SuppressExtendedProtection do registo.
Chave de registo HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA Valor SuppressExtendedProtection Tipo REG_DWORD Dados 0 Ativa a tecnologia de proteção.
1 A Proteção Alargada está desativada.
3 A Proteção Estendida é desabilitada e as associações de canal enviadas pelo Kerberos também são desabilitadas, mesmo que o aplicativo as forneça.
Valor predefinido: 0x0
Observação Um problema que ocorre quando o EPA está habilitado por padrão é descrito no tópico Falha de autenticação de servidores não-Windows NTLM ou Kerberos no site da Microsoft.Defina o valor LmCompatibilityLevel do registo.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel a 3. Esta é uma chave existente que permite a autenticação NTLMv2. O EPA aplica-se apenas aos protocolos de autenticação NTLMv2, Kerberos, digest e negociação e não se aplica a NTLMv1.
Observação Tem de reiniciar o computador depois de definir os valores de registo SuppressExtendedProtection e LmCompatibilityLevel num computador Windows.
Ativar a Proteção Expandida
Observação Por predefinição, a Proteção Expandida e o NTLMv2 estão ativados em todas as versões suportadas do Windows. Pode utilizar este guia para verificar se é esse o caso.
Importante Esta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo incorretamente. Por essa razão, certifique-se de que segue estes passos cuidadosamente. Como forma de proteção adicional, crie uma cópia de segurança do registo antes de o modificar. Assim, se ocorrer algum problema pode restaurar o registo. Para mais informações sobre como fazer uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para ver o artigo na Base de Dados de Conhecimento Microsoft:
- KB322756 Como fazer uma cópia de segurança e restaurar o registo no Windows
Para ativar a Proteção Expandida depois de transferir e instalar a atualização de segurança para a sua plataforma, siga estes passos:
Inicie o Editor de Registo. Para fazer isso, clique em Iniciar , clique em Executar , digite regedit na caixa Abrir e, em seguida, clique em OK .
Localize e, em seguida, clique na seguinte subchave do registo:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSAVerifique se os valores do registo SuppressExtendedProtection e LmCompatibilityLevel estão presentes.
Se os valores do registo não estiverem presentes, siga estes passos para os criar:
- Com a subchave do registo listada no passo 2 selecionada, no menu Editar , aponte para Novo e, em seguida, clique em Valor DWORD.
- Digite SuppressExtendedProtection e pressione Enter.
- Com a subchave do registo listada no passo 2 selecionada, no menu Editar , aponte para Novo e, em seguida, clique em Valor DWORD.
- Escreva LmCompatibilityLevel e, em seguida, prima Enter.
Clique para selecionar o valor de registo SuppressExtendedProtection .
No menu Editar, clique em Modificar.
Na caixa Dados do valor , digite 0 e, em seguida, clique em OK .
Clique para selecionar o valor de registo LmCompatibilityLevel .
No menu Editar, clique em Modificar.
Observação Este passo altera os requisitos de autenticação NTLM. Consulte o seguinte artigo na Base de dados de Conhecimento da Microsoft para se certificar de que está familiarizado com este comportamento.
KB239869 Como ativar a autenticação NTLM 2Na caixa Dados do valor , digite 3 e, em seguida, clique em OK .
Feche o Editor de Registo.
Se efetuar estas alterações num computador Windows, tem de reiniciar o computador antes de as alterações entrarem em vigor.