Notă
- Actualizat 01/03/2025
- S-au eliminat referințele la pasul de activare manuală. Acest pas a fost necesar înainte de 14 noiembrie 2023 pentru Windows Server 2022 și de 9 ianuarie 2024 pentru Windows Server 2019.
Introducere
Legătura canal LDAP și semnarea LDAP oferă modalități de a crește securitatea comunicațiilor între clienții LDAP și controlerele de domeniu Active Directory. În controlerele de domeniu Active Directory există un set de configurații implicite nesigure pentru legătura canal LDAP și semnarea LDAP, care le permit clienților LDAP să comunice cu ei fără a impune legătura canal LDAP și semnarea LDAP. Acest lucru poate deschide controlerele de domeniu Active Directory la o vulnerabilitate de creștere a privilegiilor.
Această vulnerabilitate i-ar putea permite unui atacator de tip intermediar să redirecționeze cu succes o solicitare de autentificare către un server de domeniu Microsoft care nu a fost configurat să solicite legarea, semnarea sau sigilarea canalului pentru conexiunile de intrare.
Microsoft recomandă administratorilor să facă modificările de întărire descrise în ADV190023.
Pe 10 martie 2020, am tratat această vulnerabilitate, oferind următoarele opțiuni administratorilor pentru a întări configurațiile pentru legătura canal LDAP pe controlerele de domeniu Active Directory:
- Controler de domeniu: Cerințe privind tokenurile de legătură pentru canalul de server LDAP Politică de grup.
- Evenimentele de semnare a tokenurilor de legare canal (CBT) 3039, 3040 și 3041 cu expeditorul evenimentului Microsoft-Windows-Active Directory_DomainService în jurnalul de evenimente al serviciului director.
Important: Actualizările din 10 martie 2020 și actualizările din viitorul apropiat nu vor modifica semnarea LDAP sau politicile implicite de legătură canal LDAP sau echivalentul lor de registry pe controlerele de domeniu Active Directory noi sau existente.
Controler de domeniu pentru semnare LDAP : Politica privind cerințele de semnare a serverelor LDAP există deja în toate versiunile de Windows acceptate. Începând cu Windows Server 2022, ediția 23H2, toate versiunile noi de Windows vor conține toate modificările din acest articol.
De ce a fost necesară această modificare
Securitatea controlerelor de domeniu Active Directory poate fi îmbunătățită semnificativ prin configurarea serverului pentru a respinge legăturile LDAP SASL (Simple Authentication and Security Layer) care nu solicită semnare (verificarea integrității) sau pentru a respinge legăturile LDAP simple efectuate pe o conexiune text clar (necriptată SSL/TLS). SASL-urile pot include protocoale de negociere, Kerberos, NTLM și Digest.
Traficul de rețea nesemnat este susceptibil să reia atacurile în care un intrus interceptează încercarea de autentificare și emiterea unui tichet. Intrusul poate reutiliza tichetul pentru a imita utilizatorul legitim. În plus, traficul de rețea nesemnat este susceptibil la atacurile de tip intermediar (MiTM), în care un intrus capturează pachetele între client și server, schimbă pachetele, apoi le redirecționează către server. Dacă are loc acest lucru pe un controler de domeniu Active Directory, un atacator poate determina un server să ia decizii bazate pe solicitări falsificate de la clientul LDAP. LDAPS utilizează propriul port de rețea distinct pentru a conecta clienții și serverele. Portul implicit pentru LDAP este portul 389, dar LDAPS utilizează portul 636 și stabilește SSL/TLS la conectarea cu un client.
Tokenurile de legătură canal fac autentificarea LDAP prin SSL/TLS mai sigură împotriva atacurilor de interferare.
Actualizări din 10 martie 2020
Important Actualizările din 10 martie 2020 nu au modificat semnarea LDAP sau politicile implicite de legătură a canalului LDAP sau echivalentul lor de registry pe controlerele de domeniu Active Directory noi sau existente.
Actualizările Windows lansate pe 10 martie 2020 au adăugat următoarele caracteristici:
- Evenimentele noi sunt înregistrate în jurnal în Vizualizator evenimente legate de legarea canalului LDAP. Consultați Tabelele 1 și Tabelul 2 pentru detalii despre aceste evenimente.
- Un nou controler de domeniu: cerințe pentru tokenurile de legătură a canalului de server LDAP Politică de grup pentru a configura legătura canal LDAP pe dispozitivele acceptate.
Maparea dintre setările politicii de semnare LDAP și setările de registry este inclusă după cum urmează:
- Setarea politicii: "Controler de domeniu: cerințe de semnare a serverului LDAP"
- Setarea registry: LDAPServerIntegrity
- Tip de date: DWORD
- Cale de registry: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| Setarea politicii de grup | Setarea registry |
|---|---|
| Fără | 1 |
| Semnare necesară | 2 |
Maparea dintre setările politicii de legare a canalului LDAP și setările de registry este inclusă după cum urmează:
- Setarea politicii: "Controler de domeniu: cerințe token de legătură canal de server LDAP"
- Setarea registry: LdapEnforceChannelBinding
- Tip de date: DWORD
- Cale de registry: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
| Setarea politicii de grup | Setarea registry |
|---|---|
| Niciodată | 0 |
| Când se acceptă | 1 |
| Întotdeauna | 2 |
Tabelul 1: Evenimente de semnare LDAP
| ID eveniment | Descriere | Declanșator |
|---|---|---|
| 2886 | Securitatea acestor controlere de domeniu poate fi îmbunătățită semnificativ prin configurarea serverului pentru a impune validarea semnării LDAP. | Se declanșează o dată la 24 de ore, la pornirea sau la începutul serviciului, dacă Politica de grup este setată la Fără. Nivel minim de înregistrare în jurnal: 0 sau mai mare |
| 2887 | Securitatea acestor controlere de domeniu poate fi îmbunătățită configurându-le pentru a respinge solicitările simple de legare LDAP și alte solicitări de legare care nu includ semnarea LDAP. | Se declanșează o dată la 24 de ore atunci când Politica de grup este setată la Fără și s-a finalizat cel puțin o legătură neprotejată. Nivel minim de înregistrare în jurnal: 0 sau mai mare |
| 2888 | Securitatea acestor controlere de domeniu poate fi îmbunătățită configurându-le pentru a respinge solicitările simple de legare LDAP și alte solicitări de legare care nu includ semnarea LDAP. | Se declanșează o dată la 24 de ore, când Politica de grup este setată la Necesită semnare și cel puțin o legătură neprotejată a fost respinsă. Nivel minim de înregistrare în jurnal: 0 sau mai mare |
| 2889 | Securitatea acestor controlere de domeniu poate fi îmbunătățită configurându-le pentru a respinge solicitările simple de legare LDAP și alte solicitări de legare care nu includ semnarea LDAP. | Se declanșează atunci când un client nu utilizează semnarea pentru legături în sesiunile de pe portul 389. Nivel minim de înregistrare în jurnal: 2 sau mai mare |
Tabelul 2: Evenimente CBT
| Eveniment | Descriere | Declanșator |
|---|---|---|
| 3039 | Următorul client a efectuat o legare LDAP prin SSL/TLS și nu a trecut de validarea tokenului de legătură a canalului LDAP. | Pe declanșare în oricare dintre următoarele circumstanțe:
|
| 3040 | În perioada anterioară de 24 de ore, s-au efectuat # de legări LDAP-uri neprotejate. | Se declanșează o dată la 24 de ore, atunci când Politica de grup CBT este setată la Niciodată și cel puțin o legătură neprotejată a fost finalizată. Nivel minim de înregistrare în jurnal: 0 |
| 3041 | Securitatea acestui server director poate fi îmbunătățită semnificativ prin configurarea serverului pentru a impune validarea tokenurilor de legătură canal LDAP. | Se declanșează o dată la 24 de ore, la pornirea sau la începutul serviciului, dacă Politica de grup CBT este setată la Niciodată. Nivel minim de înregistrare în jurnal: 0 |
Pentru a seta nivelul de înregistrare în jurnal, utilizați o comandă care seamănă cu următoarea:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics /v "16 evenimente de interfață LDAP" /t REG_DWORD /d 2
Pentru mai multe informații despre cum să configurați înregistrarea evenimentelor în jurnalul de diagnosticare Active Directory, consultați Cum se configurează înregistrarea evenimentelor de diagnostic în jurnal Active Directory și LDS.
Actualizări din 8 august 2023
Unele computere client nu au putut utiliza tokenuri de legătură de canal LDAP pentru a se lega la controlerele de domeniu Active Directory (DC). Microsoft a lansat o actualizare de securitate pe 8 august 2023. Pentru Windows Server 2022, această actualizare a adăugat opțiuni pentru ca administratorii să auditeze acești clienți. Puteți activa evenimentele CBT 3074 și 3075 cu sursa de evenimente **Microsoft-Windows-ActiveDirectory_DomainService** în jurnalul de evenimente al serviciului director.
Important Actualizarea din 8 august 2023 nu a modificat semnarea LDAP, politicile implicite de legătură a canalului LDAP sau echivalentul lor de registry pe DC-urile Active Directory noi sau existente.
Toate instrucțiunile din secțiunea de actualizări din martie 2020 se aplică și aici. Noile evenimente de audit vor necesita setările de politică și registry evidențiate în instrucțiunile de mai sus. A existat, de asemenea, un pas de activare pentru a vedea noile evenimente de audit. Dar actualizările din 14 noiembrie 2023 au eliminat acel pas de activare. Noile detalii despre implementare se află în secțiunea Acțiuni recomandate de mai jos.
Tabelul 3: Evenimente CBT
| Eveniment | Descriere | Declanșator |
|---|---|---|
| 3074 | Următorul client a efectuat o legare LDAP prin SSL/TLS și nu ar fi reușit validarea tokenului de legare canal dacă serverul director ar fi fost configurat să impună validarea tokenurilor de legare a canalului. | Pe declanșare în oricare dintre următoarele circumstanțe:
|
| 3075 | Următorul client a efectuat o legare LDAP prin SSL/TLS și nu a furnizat informații de legătură de canal. Atunci când acest server director este configurat să impună validarea tokenurilor de legare a canalului, această operațiune de legare va fi respinsă. | Pe declanșare în oricare dintre următoarele circumstanțe:
|
Notă Atunci când setați nivelul înregistrării în jurnal la cel puțin 2, ID-ul de eveniment 3074 este înregistrat în jurnal. Administratorii pot utiliza acest lucru pentru a-și audita mediul pentru clienții care nu lucrează cu tokenuri de legare de canal. Evenimentele vor conține următoarele informații de diagnosticare pentru identificarea clienților:
Client IP address:
192.168.10.5:62709
Identitatea pe care clientul a încercat să o autentifice ca:
CONTOSO\Administrator
Client acceptă legarea canalelor:FALSE
Client permis în modul atunci când este acceptat:TRUE
Semnalizări rezultate audit:0x42
| Nume semnalizator | Valoare semnalizator | Comentariu |
|---|---|---|
| SEC_CHANNEL_BINDINGS_RESULT_CLIENT_SUPPORT | 0x01 | Pachetul de autentificare indică faptul că versiunile clientului ar trebui să accepte legături |
| SEC_CHANNEL_BINDINGS_RESULT_ABSENT | 0x02 | Legările sunt omise sau toate zerouri |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISMATCH | 0x04 | Codul hash de legare a canalului a fost incorect |
| SEC_CHANNEL_BINDINGS_RESULT_NOTVALID_MISSING | 0x08 | Asocierile de canal lipsă nu sunt permise pentru acest client |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MATCHED | 0x10 | Asocierile client și server se potrivesc |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_PROXY | 0x20 | ASC_REQ_PROXY_BINDINGS solicita clientului să furnizeze o legătură |
| SEC_CHANNEL_BINDINGS_RESULT_VALID_MISSING | 0x40 | Client permis de ASC_REQ_ALLOW_MISSING_BINDINGS |
O valoare de semnalizare, inclusiv biți 0x30 este un câmp CBT valid, valoarea de semnalizare, inclusiv biții 0x0C înseamnă un CBT falsificat.
Actualizări din 10 octombrie 2023
Modificările de auditare adăugate în august 2023 sunt acum disponibile pe Windows Server 2019. Pentru acel sistem de operare, actualizarea a adăugat opțiuni pentru ca administratorii să auditeze acești clienți. Puteți activa evenimentele CBT 3074 și 3075. Utilizați sursa de evenimente **Microsoft-Windows-ActiveDirectory_DomainService** în jurnalul de evenimente al serviciului director.
Important Actualizarea din 10 octombrie 2023 nu a modificat semnarea LDAP, politicile implicite de legătură a canalului LDAP sau echivalentul lor de registry pe DC-urile Active Directory noi sau existente.
Toate instrucțiunile din secțiunea de actualizări din martie 2020 se aplică și aici. Noile evenimente de audit vor necesita setările de politică și registry evidențiate în instrucțiunile de mai sus. A existat, de asemenea, un pas de activare pentru a vedea noile evenimente de audit. Dar actualizările din 9 ianuarie 2024 au eliminat acel pas de activare. Noile detalii despre implementare se află în secțiunea Acțiuni recomandate de mai jos.
Actualizări din 14 noiembrie 2023
Modificările de auditare adăugate în august 2023 sunt acum disponibile pe Windows Server 2022 fără a necesita un pas de activare manuală. Urmați pașii din Acțiuni recomandate.
Actualizări din 9 ianuarie 2024
Modificările de auditare adăugate în octombrie 2023 sunt acum disponibile pe Windows Server 2019 fără a necesita un pas de activare manuală. Urmați pașii din Acțiuni recomandate.
Acțiuni recomandate
Recomandăm insistent clienților să ia următorii pași cu prima ocazie:
Asigurați-vă că actualizările Windows din 10 martie 2020 sau mai recente sunt instalate pe computerele cu rol de controler de domeniu (DC). Dacă doriți să activați evenimentele de auditare de legare a canalului LDAP, asigurați-vă că actualizările din 14 noiembrie 2023 sau mai recente sunt instalate pe controlerele de domeniu Windows Server 2022 sau Server 2019.
Activați înregistrarea în jurnalul de diagnosticare a evenimentelor LDAP la 2 sau la o versiune mai recentă.
Monitorizați jurnalul de evenimente al serviciilor director pe toate computerele cu rol DC filtrate pentru:
- Evenimentul 2889 de nereușită a semnării LDAP în Tabelul 1.
- Evenimentul 3039 de eroare legătură canal LDAP din Tabelul 2.
- Evenimentele de auditare a legăturii canal LDAP 3074 și 3075 din Tabelul 3.
Notă Evenimentele 3039, 3074 și 3075 pot fi generate numai când Legarea canal este setată la Când se acceptă sau Întotdeauna.
Identificați marca, modelul și tipul de dispozitiv pentru fiecare adresă IP citată de:
- Evenimentul 2889 pentru efectuarea de apeluri LDAP nesemnate
- Eveniment 3039 pentru a nu utiliza legătura canal LDAP
- Evenimentul 3074 sau 3075 pentru a nu fi capabil de legătura canal LDAP
Tipuri de dispozitive
Grupați tipurile de dispozitive în 1 din 3 categorii:
Aparat sau router -
- Contactați furnizorul dispozitivului.
Dispozitiv care nu rulează pe un sistem de operare Windows -
- Verificați dacă atât legătura canal LDAP, cât și semnarea LDAP sunt acceptate pe sistemul de operare și în aplicație. Pentru a verifica, lucrați cu sistemul de operare și cu furnizorul aplicației.
Dispozitiv care rulează pe un sistem de operare Windows -
- Semnarea LDAP este disponibilă pentru utilizare de către toate aplicațiile din toate versiunile de Windows acceptate. Verificați dacă aplicația sau serviciul utilizează semnarea LDAP.
- Legătura canal LDAP necesită ca toate dispozitivele Windows să aibă instalat CVE-2017-8563 . Verificați dacă aplicația sau serviciul utilizează legarea canal LDAP.
Utilizați instrumente de urmărire locale, la distanță, generice sau specifice dispozitivului. Acestea includ capturi de rețea, manager de procese sau urme de depanare. Determinați dacă sistemul de operare principal, un serviciu sau o aplicație efectuează legări LDAP nesemnate sau nu utilizează CBT.
Utilizați Managerul de activități Windows sau un echivalent pentru a mapa ID-ul de proces la numele proceselor, serviciilor și aplicațiilor.
Planificare pentru actualizări de securitate
Actualizarea din 10 martie 2020 a adăugat controale pentru administratori, pentru a întări configurațiile pentru legătura canal LDAP și semnarea LDAP pe controlerele de domeniu Active Directory. Actualizările din 8 august și 10 octombrie 2023 au adăugat opțiuni pentru ca administratorii să auditeze mașinile client care nu pot utiliza tokenuri de legare a canalului LDAP. Recomandăm insistent clienților să efectueze acțiunile recomandate în acest articol cât mai curând posibil.
| Dată țintă | Eveniment | Se aplică la |
|---|---|---|
| Martie 10, 2020 |
Obligatoriu: Actualizare de securitate disponibilă pe Windows Update pentru toate platformele Windows acceptate. Notă Pentru platformele Windows care nu mai beneficiază de suport standard, această actualizare de securitate va fi disponibilă doar prin intermediul programelor de suport extins aplicabile. Suportul pentru legătura canal LDAP a fost adăugat de CVE-2017-8563 pe Windows Server 2008 și versiunile mai recente. Tokenurile de legătură de canal sunt acceptate în Windows 10, versiunea 1709 și versiunile mai recente. Windows XP nu acceptă legătura canal LDAP și nu reușește atunci când legătura canal LDAP este configurată utilizând o valoare Întotdeauna, dar interoperează cu DC-urile configurate să utilizeze o setare de legare canal LDAP mai relaxată Când se acceptă. |
Windows Server 2022 Windows 10, versiunea 20H2 Windows 10, versiunea 1909 (19H2) Windows Server 2019 (1809 \RS5) Windows Server 2016 (1607\RS1) Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 (ESU) Windows Server 2008 SP2 (actualizare de securitate extinsă (ESU)) |
| 8 august 2023 | Adaugă evenimente de auditare a tokenurilor de legătură a canalului LDAP (3074 & 3075). Acestea sunt dezactivate implicit pe Windows Server 2022. | Windows Server 2022 |
| 10 octombrie 2023 | Adaugă evenimente de auditare a tokenurilor de legătură a canalului LDAP (3074 & 3075). Acestea sunt dezactivate implicit pe Windows Server 2019. | Windows Server 2019 |
| Noiembrie 14, 2023 | Evenimentele de auditare a tokenurilor de legătură a canalului LDAP sunt disponibile pe Windows Server 2022 fără a necesita un pas de activare manuală. | Windows Server 2022 |
| 9 ianuarie 2024 | Evenimentele de auditare a tokenurilor de legătură a canalului LDAP sunt disponibile în Windows Server 2019 fără a necesita un pas de activare manuală. | Windows Server 2019 |
Întrebări frecvente
Pentru răspunsuri la întrebări frecvente despre legătura canal LDAP și semnarea LDAP pe controlerele de domeniu Active Directory, consultați: