Журнал изменений
Изменение 1: 19 июня 2023 г.
|
|---|
В этой статье
- Сводка
- Обнаружение явно установленных типов шифрования сеансовых ключей
- Параметры раздела реестра
- События Windows, связанные с CVE-2022-37966
- Часто задаваемые вопросы и известные проблемы
- Глоссарий
Сводка
Обновления Windows, выпущенные 8 ноября 2022 года или позже, решают проблему обхода системы безопасности и повышения привилегий с помощью согласования аутентификации с использованием слабого согласования RC4-HMAC.
Это обновление установит AES в качестве типа шифрования по умолчанию для ключей сеанса в учетных записях, которым еще не присвоен тип шифрования по умолчанию.
Чтобы защитить свою среду, установите обновления Windows, выпущенные 8 ноября 2022 года или позже, на всех устройствах, включая контроллеры домена. См. изменение 1.
Дополнительные сведения об этих уязвимостях см. в статье CVE-2022-37966.
Обнаружение явно установленных типов шифрования сеансовых ключей
Возможно, вы явно определили типы шифрования в учетных записях пользователей, уязвимые к CVE-2022-37966. Найдите учетные записи, в которых явно включен DES / RC4, но не AES, используя следующий запрос Active Directory:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Параметры раздела реестра
После установки обновлений Windows, выпущенных 8 ноября 2022 года или позже, для протокола Kerberos доступен следующий раздел реестра:
DefaultDomainSupportedEncTypes
| Раздел реестра | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Value (Значение) | DefaultDomainSupportedEncTypes |
| Тип данных | REG_DWORD |
| Значение данных | 0x27 (по умолчанию) |
| Требуется перезагрузка? | Нет |
Примечание Если необходимо изменить поддерживаемый тип шифрования по умолчанию для пользователя или компьютера Active Directory, вручную добавьте и настройте раздел реестра, чтобы задать новый поддерживаемый тип шифрования. Это обновление не добавляет раздел реестра автоматически.
Контроллеры домена Windows используют это значение для определения поддерживаемых типов шифрования в учетных записях в Active Directory, для которых значение msds-SupportedEncryptionType пусто или не задано. Компьютер под управлением поддерживаемой версии операционной системы Windows автоматически устанавливает msds-SupportedEncryptionTypes для этой учетной записи компьютера в Active Directory. Это основано на настроенном значении типов шифрования, которые разрешено использовать протоколу Kerberos. Дополнительные сведения см. в статье Сетевая безопасность: настройка типов шифрования, разрешенных для Kerberos.
Для учетных записей пользователей, групповых управляемых учетных записей служб и других учетных записей в Active Directory значение msds-SupportedEncryptionTypes не устанавливается автоматически.
Чтобы найти поддерживаемые типы шифрования, которые можно установить вручную, ознакомьтесь с разделом "Поддерживаемые типы шифрования" Битовые флаги. Дополнительные сведения см. в статье Что следует сделать в первую очередь, чтобы подготовить среду и предотвратить проблемы с проверкой подлинности Kerberos.
Значение по умолчанию 0x27 (DES, RC4, AES Session Keys) было выбрано в качестве минимального изменения, необходимого для этого обновления системы безопасности. Для повышения безопасности клиентам рекомендуется установить значение 0x3C , так как это значение позволяет использовать как зашифрованные AES билеты, так и ключи сеанса AES. Если клиенты следовали нашим рекомендациям по переходу на среду, поддерживающую только AES, где RC4 не используется для протокола Kerberos, мы рекомендуем клиентам установить значение 0x38. См. изменение 1.
События Windows, связанные с CVE-2022-37966
В центре распространения ключей Kerberos отсутствуют надежные ключи для учетной записи
| Журнал событий | Система |
|---|---|
| Тип мероприятия | Ошибка |
| Источник события | Kdcsvc |
| Идентификатор события | 42 |
| Текст события | В центре распространения ключей Kerberos отсутствуют надежные ключи для account: accountname. Вы должны обновить пароль этой учетной записи, чтобы предотвратить использование небезопасной криптографии. Дополнительные сведения см. в https://go.microsoft.com/fwlink/?linkid=2210019. |
Если вы обнаружите эту ошибку, вам, вероятно, необходимо сбросить пароль krbtgt перед установкой KrbtgtFullPacSingature = 3 или установкой Windows Обновления, выпущенной 11 июля 2023 г. или позже. Обновление, которое программно включает режим принудительного применения для CVE-2022-37967, описано в следующей статье базы знаний Майкрософт:
KB5020805. Управление изменениями протокола Kerberos, связанными с CVE-2022-37967
Дополнительные сведения о том, как это сделать, см. в разделеNew-KrbtgtKeys.ps1 на веб-сайте GitHub.
Часто задаваемые вопросы и известные проблемы
При каких обстоятельствах моя среда уязвима?
Учетные записи, помеченные как явно использующие RC4, подвержены уязвимости. Кроме того, уязвимыми могут быть среды, в которых нет ключей сеанса AES в учетной записи krbgt. Чтобы устранить эту проблему, следуйте инструкциям по выявлению уязвимостей и используйте раздел параметров раздела параметров раздела реестра для обновления явного шифрования, используемого по умолчанию.
Что следует сделать в первую очередь, чтобы подготовить среду и предотвратить проблемы с проверкой подлинности Kerberos после установки на контроллеры домена обновлений, выпущенных 8 ноября 2022 года или позже?
Убедитесь, что все ваши устройства используют общий тип шифрования Kerberos. Дополнительные сведения о типах шифрования Kerberos см. в статье Расшифровка списка поддерживаемых типов шифрования Kerberos.
Среды без общего типа шифрования Kerberos могли ранее функционировать из-за автоматического добавления RC4 или путем добавления AES, если RC4 был отключен с помощью групповой политики контроллерами домена. Это поведение изменилось в обновлениях, выпущенных 8 ноября 2022 г. или позже, и теперь будет строго следовать тому, что установлено в разделах реестра, msds-SupportedEncryptionTypes и DefaultDomainSupportedEncTypes.
Если в учетной записи не задано значение msds-SupportedEncryptionTypes или задано значение 0, контроллеры домена предполагают значение по умолчанию 0x27 (39) или контроллер домена будет использовать параметр в разделе реестра DefaultDomainSupportedEncTypes.
Если в учетной записи задан msds-SupportedEncryptionTypes , этот параметр учитывается и может привести к ошибке настройки общего типа шифрования Kerberos, замаскированного предыдущим поведением автоматического добавления RC4 или AES, что больше не является поведением после установки обновлений, выпущенных 8 ноября 2022 г. или позже.
Сведения о том, как проверить, используется ли у вас общий тип шифрования Kerberos, см. в разделе вопросов Как проверить, что все мои устройства используют общий тип шифрования Kerberos?
Как убедиться, что все мои устройства используют общий тип шифрования Kerberos?
Дополнительные сведения о том, почему на ваших устройствах может отсутствовать общий тип шифрования Kerberos после установки обновлений, выпущенных 8 ноября 2022 г. или позже, см. в предыдущем вопросе .
Если вы уже установили обновления, выпущенные 8 ноября 2022 года или позже, вы можете обнаружить устройства, которые не имеют общего типа шифрования Kerberos, просмотрев в журнале событий события Microsoft-Windows-Kerberos-Key-Distribution-Center Event 27, который определяет несвязанные типы шифрования между клиентами Kerberos и удаленными серверами или службами.
У меня возникают проблемы с проверкой подлинности Kerberos в моей среде после установки обновлений, выпущенных 8 ноября 2022 г. или позже. Нужно ли устранять эти проблемы на клиентских устройствах Windows или серверах Windows Server, на которых не выполняется роль контроллера домена?
Установка обновлений, выпущенных 8 ноября 2022 года или позже, на клиентах или серверах ролей без контроллеров домена не должна влиять на проверку подлинности Kerberos в вашей среде.
После установки на контроллерах домена обновлений, выпущенных 8 ноября 2022 г. или позже, возникает утечка памяти в службе подсистемы локального центра безопасности (LSASS.exe). Что делать?
Чтобы устранить эту известную проблему, откройте окно командной строки от имени администратора и временно используйте следующую команду, чтобы установить значение 0 для раздела реестра KrbtgtFullPacSignature:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Примечание
Примечание После решения этой известной проблемы необходимо установить для KrbtgtFullPacSignature более высокий параметр в зависимости от того, что разрешено вашей средой. Рекомендуется включить режим принудительного применения, как только ваша среда будет готова.
Дальнейшие действия Мы работаем над решением и предоставим обновление в предстоящем выпуске.
Почему возникают сбои проверки подлинности Kerberos на устройствах без Windows в моей среде?
После установки на контроллерах домена обновлений, выпущенных 8 ноября 2022 года или позже, все устройства должны поддерживать подписывание билетов AES в соответствии с требованиями для усиления безопасности, необходимого для CVE-2022-37967.
Дальнейшие действия Если вы уже используете самые последние версии программного обеспечения и встроенного ПО для устройств без Windows и убедились, что между контроллерами домена Windows и устройствами без Windows доступен общий тип шифрования, обратитесь за помощью к изготовителю вашего устройства (OEM) или замените устройства на совместимые.
Примечание
ВАЖНО Не рекомендуется использовать какие-либо временные решения, позволяющие несоответствующим устройствам проходить проверку подлинности, так как это может сделать вашу среду уязвимой.
Мои устройства под управлением неподдерживаемой версии Windows больше не могут получать доступ к ресурсам в моей среде. Кроме того, к этим устройствам невозможно получить доступ с обновленных устройств с Windows в моей среде. Что делать?
К неподдерживаемым версиям Windows относятся Windows XP, Windows Server 2003, Windows Server 2008 с пакетом обновления 2 (SP2) и Windows Server 2008 R2 с пакетом обновления 1 (SP1), недоступны обновленным устройствам с Windows, если у вас нет лицензии ESU. Если у вас есть лицензия ESU, вам необходимо установить обновления, выпущенные 8 ноября 2022 года или позже, и убедиться, что в вашей конфигурации используется общий тип шифрования, доступный для всех устройств.
Дальнейшие действия Установите обновления, если они доступны для вашей версии Windows и у вас есть соответствующая лицензия ESU. Если обновления недоступны, необходимо выполнить обновление до поддерживаемой версии Windows или переместить любое приложение или службу на совместимое устройство.
Примечание
ВАЖНО Не рекомендуется использовать какие-либо временные решения, позволяющие несоответствующим устройствам проходить проверку подлинности, так как это может сделать вашу среду уязвимой.
Все мои устройства имеют общий тип шифрования и настроены только для использования AES. Почему я по-прежнему вижу ошибки проверки подлинности Kerberos после установки именно обновления от 8 ноября 2022 г.?
Эта известная проблема устранена во внеплановых обновлениях, выпущенных 17 ноября 2022 г. и 18 ноября 2022 г. для установки на всех контроллерах домена в вашей среде. Для устранения этой проблемы не требуется устанавливать обновления или вносить изменения на других серверах или клиентских устройствах в вашей среде. Если вы использовали какие-либо временные решения или способы устранения этой проблемы, они больше не нужны, и мы рекомендуем вам удалить их.
Чтобы получить автономный пакет для этих внештатных обновлений, найдите номер базы знаний в каталоге Центра обновления Майкрософт. Вы можете вручную импортировать эти обновления в Windows Server Update Services (WSUS) и Microsoft Endpoint Configuration Manager. Инструкции для WSUS см. в разделах WSUS и на сайте каталога. Инструкции для Configuration Manger см. в разделе Импорт обновлений из каталога Центра обновления Майкрософт.
Примечание
Примечание Следующие обновления недоступны из клиентского компонента Центра обновления Windows и не устанавливаются автоматически.
Накопительные обновления:
Примечание
Примечание Перед установкой этих накопительных обновлений не нужно применять предыдущие обновления. Если вы уже установили обновления, выпущенные 8 ноября 2022 г., вам не нужно удалять затронутые обновления перед установкой любых более поздних обновлений, включая обновления, перечисленные выше.
Автономные обновления:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (выпущен 18 ноября 2022 г.)
- Windows Server 2008 SP2: KB5021657
Примечание
Примечания
- Если вы используете обновления только для системы безопасности для этих версий Windows Server, необходимо установить эти автономные обновления только за ноябрь 2022 г. Обновления только для системы безопасности не являются накопительными, и вам также потребуется установить все предыдущие обновления только для системы безопасности, чтобы обеспечить полную актуальность. Ежемесячные накопительные обновления включают в себя обновления системы безопасности и все исправления.
- Если вы используете ежемесячные накопительные обновления, вам потребуется установить автономные обновления, перечисленные выше, чтобы устранить эту проблему, а также ежемесячные накопительные пакеты, выпущенные 8 ноября 2022 г., чтобы получить исправления за ноябрь 2022 г. Если вы уже установили обновления, выпущенные 8 ноября 2022 г., вам не нужно удалять затронутые обновления перед установкой любых более поздних обновлений, включая обновления, перечисленные выше.
Я использую приложение на своих устройствах с Windows, которое использует стороннюю реализацию Kerberos, и вижу проблемы проверки подлинности Kerberos. Что делать?
Если вы проверили конфигурацию своей среды и по-прежнему сталкиваетесь с проблемами с любой сторонней реализацией Kerberos, вам потребуются обновления или поддержка от разработчика или производителя приложения или устройства.
У меня в Active Directory для всех учетных записей настроено значение msds-SupportedEncryptionTypes с ненулевым значением без каких-либо битов типа шифрования (наименее значимые 5 бит), но у меня возникают сбои проверки подлинности после установки обновлений, выпущенных 8 ноября 2022 г. или позже, на контроллерах домена. Что делать?
Эту известную проблему можно устранить, выполнив одно из следующих действий:
Установите msds-SupportedEncryptionTypes с помощью побитового метода или установите текущее 0x27 по умолчанию, чтобы сохранить текущее значение. Например:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Присвойте msds-SupportEncryptionTypes значение 0 , чтобы разрешить контроллерам домена использовать значение по умолчанию 0x27.
Дальнейшие действия Мы работаем над решением и предоставим обновление в предстоящем выпуске.
Глоссарий
Расширенное шифрование Standard (AES)
Расширенное шифрование Standard (AES) — это блочный шифр, заменяющий стандарт шифрования данных (DES). AES может использоваться для защиты электронных данных. Алгоритм AES можно использовать для шифрования (шифрования) и расшифровки (расшифровки) информации. Шифрование преобразует данные в непонятную форму, называемую зашифрованным текстом; Расшифровка шифрованного текста преобразует данные обратно в исходную форму, называемую открытым текстом. AES используется в криптографии с симметричным ключом, то есть один и тот же ключ используется для шифрования и расшифровки. Это также блочный шифр, означающий, что он работает с блоками открытого текста и зашифрованного текста фиксированного размера и требует, чтобы размер открытого текста и зашифрованного текста был кратен размеру этого блока. AES также известен как алгоритм симметричного шифрования Рейндаля [FIPS197].
Kerberos
Kerberos — это протокол проверки подлинности компьютерной сети, который работает на основе «билетов», позволяя узлам, взаимодействующим по сети, безопасно подтверждать свою личность друг другу.
Центр распространения ключей (KDC)
Служба Kerberos, реализующая службы проверки подлинности и предоставления билетов, указанные в протоколе Kerberos. Служба работает на компьютерах, выбранных администратором области или домена; Она присутствует не на каждом компьютере в сети. У него должен быть доступ к базе данных учетных записей в обслуживаемом мире. Ключи доступа KDC интегрированы в роль контроллера домена . Это сетевая служба, которая поставляет билеты клиентам для использования при аутентификации в службах.
RC4-HMAC
RC4-HMAC (RC4) — это алгоритм симметричного шифрования с переменной длиной ключа. Дополнительную информацию см. в разделе 17.1 [SCHNEIER] .
Ключ сеанса
Относительно недолговечный симметричный ключ (криптографический ключ, согласовываемый клиентом и сервером на основе общего секрета). Срок действия ключей сеанса ограничен сеансом, с которым они связаны. Ключ сеанса должен быть достаточно прочным, чтобы выдержать криптоанализ в течение всего сеанса.
Билет на выдачу билета
Особый тип билета, который можно использовать для получения других билетов. Билет на получение билета (TGT) получается после первичной аутентификации на бирже Authentication Service (AS); после этого пользователям не нужно будет предоставлять свои учетные данные, но они смогут использовать TGT для получения последующих билетов.