Introducere
Microsoft anunță disponibilitatea unei noi caracteristici, Protecție extinsă la autentificare (EPA), pe platforma Windows. Această caracteristică îmbunătățește protecția și manipularea acreditărilor atunci când autentificați conexiunile de rețea utilizând autentificarea Windows integrată (IWA).
Actualizarea în sine nu oferă protecție directă împotriva atacurilor specifice, cum ar fi redirecționarea acreditărilor, dar permite aplicațiilor să opteze pentru EPA. Acest sfat informează dezvoltatorii și administratorii de sistem despre această funcționalitate nouă și despre modul în care poate fi implementată pentru a contribui la protejarea acreditărilor de autentificare.
Pentru mai multe informații, consultați Sfatul Microsoft de securitate 973811.
Mai multe informații
Această actualizare de securitate modifică interfața pentru furnizorul de asistență de securitate (SSPI) pentru a îmbunătăți modul în care funcționează autentificarea Windows, astfel încât acreditările să nu fie redirecționate cu ușurință atunci când este activat IWA.
Atunci când EPA este activat, solicitările de autentificare sunt legate atât la numele principale de serviciu (SPN) ale serverului la care clientul încearcă să se conecteze, cât și la canalul TLS (Transport Layer Security) extern prin care are loc autentificarea IWA.
Actualizarea adaugă o nouă intrare de registry pentru a gestiona Protecția extinsă:
Setați valoarea SuppressExtendedProtection de registry.
Cheia de registry HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA Valoare SuppressExtendedProtection Tip REG_DWORD Date 0 Activează tehnologia de protecție.
1 Protecția extinsă este dezactivată.
3 Protecția extinsă este dezactivată, iar legăturile de canal trimise de Kerberos sunt, de asemenea, dezactivate, chiar dacă aplicația le furnizează.
Valoare implicită: 0x0
Notă O problemă care apare atunci când EPA este activat în mod implicit este descrisă în subiectul Eroare de autentificare de la servere non-Windows NTLM sau Kerberos de pe site-ul web Microsoft.Setați valoarea LmCompatibilityLevel de registry.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel la 3. Aceasta este o cheie existentă care permite autentificarea NTLMv2. EPA se aplică doar pentru protocoalele de autentificare NTLMv2, Kerberos, digest și de negociere și nu se aplică pentru NTLMv1.
Notă Trebuie să reporniți computerul după ce setați valorile de registry SuppressExtendedProtection și LmCompatibilityLevel pe un computer Windows.
Activați protecția extinsă
Notă În mod implicit, Protecție extinsă și NTLMv2 sunt activate în toate versiunile de Windows acceptate. Puteți utiliza acest ghid pentru a verifica dacă aceasta este situația.
Important Această secțiune, metodă sau activitate conține pași care vă indică modalități de modificare a registry. Totuși, pot apărea probleme grave dacă faceți modificări incorecte în registry. Prin urmare, asigurați-vă că urmați acești pași cu atenție. Pentru protecție suplimentară, faceți o copie backup la registry înainte de a-l modifica. Apoi, puteți să restaurați registry dacă apare o problemă. Pentru informații suplimentare despre copierea de rezervă și restaurarea sistemului registry, faceți clic pe următorul număr de articol din Baza de cunoștințe Microsoft:
- KB322756 Cum se creează copii de rezervă și cum se pot restaura cheile de registry în Windows
Pentru a activa singur protecția extinsă după ce descărcați și instalați actualizarea de securitate pentru platforma dvs., urmați acești pași:
Porniți editorul de registry. Pentru a face acest lucru, faceți clic pe Start, faceți clic pe Executare, tastați regedit în caseta Deschidere , apoi faceți clic pe OK.
Identificați următoarea subcheie de registry și apoi faceți clic pe ea:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSAVerificați dacă valorile de registry SuppressExtendedProtection și LmCompatibilityLevel sunt prezente.
Dacă valorile de registry nu sunt prezente, urmați acești pași pentru a le crea:
- Cu subcheia de registry listată în pasul 2 selectată, în meniul Editare , indicați spre New, apoi faceți clic pe DWORD Value.
- Tastați SuppressExtendedProtection, apoi apăsați pe Enter.
- Cu subcheia de registry listată în pasul 2 selectată, în meniul Editare , indicați spre New, apoi faceți clic pe DWORD Value.
- Tastați LmCompatibilityLevel, apoi apăsați pe Enter.
Faceți clic pentru a selecta valoarea registry SuppressExtendedProtection .
În meniul Edit, faceți clic pe Modify.
În caseta Value data, tastați 0, apoi faceți clic pe OK.
Faceți clic pentru a selecta valoarea de registry LmCompatibilityLevel .
În meniul Edit, faceți clic pe Modify.
Notă Acest pas modifică cerințele de autentificare NTLM. Examinați articolul următor din Baza de cunoștințe Microsoft pentru a vă asigura că sunteți familiarizat cu acest comportament.
KB239869 Cum se activează autentificarea NTLM 2În caseta Value data, tastați 3, apoi faceți clic pe OK.
Închideți Registry Editor.
Dacă efectuați aceste modificări pe un computer Windows, trebuie să reporniți computerul înainte ca modificările să aibă efect.