KB5014754. Изменения проверки подлинности на основе сертификатов на контроллерах домена Windows

Не удалось найти надежных сопоставлений сертификатов, и у сертификата не было нового расширения идентификатора безопасности (SID), которое может проверить KDC.

Сертификат был выдан пользователю до того, как пользователь существовал в Active Directory, и не удалось найти надежное сопоставление. Это событие регистрируется только в том случае, если KDC находится в режиме совместимости.

Идентификатор безопасности, содержащийся в новом расширении сертификата пользователей, не соответствует идентификатору безопасности пользователей, что означает, что сертификат был выдан другому пользователю.

Примечание Некоторые поля, такие как "Издатель", "Тема" и "Серийный номер", передаются в формате "вперед". Этот формат необходимо отменить при добавлении строки сопоставления в атрибут altSecurityIdentities . Например, чтобы добавить сопоставление X509IssuerSerialNumber для пользователя, выполните поиск в полях "Издатель" и "Серийный номер" сертификата, который вы хотите сопоставить с пользователем. См. пример выходных данных ниже.

• Издатель: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• SerialNumber: 2B000000011AC0000000012

Затем обновите атрибут altSecurityIdentities пользователя в Active Directory, указав следующую строку:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>120000000AC11000000002B"

Чтобы обновить этот атрибут с помощью PowerShell, можно использовать приведенную ниже команду. Помните, что по умолчанию только администраторы домена имеют разрешение на обновление этого атрибута.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>120000000AC11000000002B"}

Обратите внимание, что при обратном изменении номера SerialNumber необходимо сохранить порядок байтов. Это означает, что при отмене номера SerialNumber "A1B2C3" должна быть строка "C3B2A1", а не "3C2B1A". Дополнительные сведения см. в разделе Практическое руководство. Сопоставление пользователя с сертификатом с помощью всех методов, доступных в атрибуте altSecurityIdentities.

После установки обновлений Windows от 10 мая 2022 г. устройства будут находиться в режиме совместимости. Если сертификат можно строго сопоставить с пользователем, проверка подлинности будет выполняться должным образом. Если сертификат может быть сопоставлен только слабо с пользователем, проверка подлинности будет выполняться должным образом. Однако будет зарегистрировано предупреждающее сообщение, если сертификат не старше пользователя. Если сертификат старше пользователя и отсутствует раздел реестра backdating certificate или диапазон находится за пределами компенсации резервной копии, проверка подлинности завершится ошибкой, и будет зарегистрировано сообщение об ошибке.  Если настроен раздел реестра резервной копии сертификатов, он заносит в журнал событий предупреждающее сообщение, если даты попадают в резервную компенсацию.

После установки обновлений Windows от 10 мая 2022 г. следите за любым предупреждающим сообщением, которое может появиться через месяц или более. Если предупреждения отсутствуют, настоятельно рекомендуется включить режим полного принудительного применения на всех контроллерах домена, использующих проверку подлинности на основе сертификата. Для включения режима полного принудительного применения можно использовать раздел реестра KDC .

Если раньше не было обновлено до режима аудита или принудительного применения с помощью раздела реестра StrongCertificateBindingEnforcement , контроллеры домена перейдут в режим полного принудительного применения при установке обновления для системы безопасности Windows за февраль 2025 г. Проверка подлинности будет отклонена, если сертификат не может быть строго сопоставлен. Возможность вернуться в режим совместимости будет оставаться до установки обновления для системы безопасности Windows 9 сентября 2025 г. После этой даты раздел реестра StrongCertificateBindingEnforcement больше не будет поддерживаться.

Если проверка подлинности на основе сертификатов основана на слабом сопоставлении, которое невозможно переместить из среды, контроллеры домена можно поместить в режим Отключено с помощью параметра раздела реестра. Корпорация Майкрософт не рекомендует это сделать, и 11 апреля 2023 г. мы удалим отключенный режим.

После установки обновлений Windows от 13 февраля 2024 г. или более поздних версий на Сервере 2019 и более поздних версиях, а также поддерживаемых клиентов с дополнительной функцией RSAT, сопоставление сертификатов в Active Directory Users & computers будет по умолчанию выбирать строгое сопоставление с использованием X509IssuerSerialNumber вместо слабого сопоставления с помощью X509IssuerSubject. Параметр по-прежнему можно изменить при необходимости.

Симптомы

Корпорация Майкрософт получила сообщения о том, что параметр "Обработка, даже если объекты групповая политика не изменились" в объекте групповая политика "Конфигурация компьютера>административные шаблоны>system>групповая политика>Configure, обработка политики реестра" может периодически мешать сопоставлениям на основе имен в контроллерах домена.

Возможное решение

Чтобы обойти эту проблему, отключите параметр "Обработка, даже если объекты групповая политика не изменились" на контроллерах домена. Это можно сделать только в том случае, если требуются сопоставления на основе имен, как определено в групповая политика "Конфигурация компьютера>Административные шаблоны>System>KDC>Разрешить надежные сопоставления на основе имен для сертификатов". Дополнительные сведения см . в статье Включение сопоставления на основе строгих имен в сценариях для государственных организаций.

Следующий этап

Мы изучаем эти отчеты и предоставим дополнительные сведения, когда они будут доступны.

• Используйте операционный журнал Kerberos на соответствующем компьютере, чтобы определить, какой контроллер домена завершает сбой при входе. Перейдите > в раздел Просмотр событийПриложения и журналы\ службMicrosoft \Windows\Security-Kerberos\Operational.
• Найдите соответствующие события в журнале системных событий на контроллере домена, для чего учетная запись пытается пройти проверку подлинности.
• Если сертификат старше учетной записи, повторно введите сертификат или добавьте в учетную запись безопасное сопоставление altSecurityIdentities (см. раздел Сопоставления сертификатов).
• Если сертификат содержит расширение идентификатора безопасности, убедитесь, что идентификатор безопасности соответствует учетной записи.
• Если сертификат используется для проверки подлинности нескольких разных учетных записей, каждой учетной записи потребуется отдельное сопоставление altSecurityIdentities .
• Если сертификат не имеет безопасного сопоставления с учетной записью, добавьте его или оставьте домен в режиме совместимости, пока его не удастся добавить.

Примером сопоставления сертификатов TLS является использование веб-приложения интрасети IIS.

• После установки защиты CVE-2022-26391 и CVE-2022-26923 эти сценарии по умолчанию используют протокол Kerberos Certificate Service for User (S4U) для сопоставления сертификатов и проверки подлинности.
• В протоколе Kerberos Certificate S4U запрос проверки подлинности передается с сервера приложений на контроллер домена, а не от клиента к контроллеру домена. Таким образом, соответствующие события будут находиться на сервере приложений.

Этот раздел реестра не будет поддерживаться после установки обновлений для Windows, выпущенных в сентябре 2025 г. или позже.

Когда серверное приложение требует проверки подлинности клиента, Schannel автоматически пытается сопоставить сертификат, который клиент TLS предоставляет учетной записи пользователя. Вы можете проверить подлинность пользователей, которые входят с помощью сертификата клиента, создав сопоставления, которые связывают сведения о сертификате с учетной записью пользователя Windows. После создания и включения сопоставления сертификатов каждый раз, когда клиент представляет сертификат клиента, серверное приложение автоматически связывает этого пользователя с соответствующей учетной записью пользователя Windows.

Schannel будет пытаться сопоставить каждый включенный метод сопоставления сертификатов до тех пор, пока он не будет выполнен успешно. Schannel сначала пытается сопоставить сопоставления service-for-user-to-Self (S4U2Self). Сопоставления сертификатов субъекта/издателя, издателя и имени участника-пользователя теперь считаются слабыми и отключены по умолчанию. Битовая сумма выбранных параметров определяет список доступных методов сопоставления сертификатов.

Раздел реестра SChannel по умолчанию был 0x1F и теперь 0x18. Если в серверных приложениях на основе Schannel возникают сбои проверки подлинности, рекомендуется выполнить тест. Добавьте или измените значение раздела реестра CertificateMappingMethods на контроллере домена и задайте для него значение 0x1F и посмотрите, устранена ли проблема. Дополнительные сведения см. в журналах системных событий на контроллере домена. Помните, что изменение значения раздела реестра SChannel на предыдущее значение по умолчанию (0x1F) отменить изменения использование методов сопоставления слабых сертификатов.

Дополнительные ресурсы и поддержку см. в разделе "Дополнительные ресурсы".

После установки обновлений, которые относятся к CVE-2022-26931 и CVE-2022-26923, проверка подлинности может завершиться ошибкой в случаях, когда сертификаты пользователей старше времени создания пользователей. Этот раздел реестра обеспечивает успешную проверку подлинности при использовании слабых сопоставлений сертификатов в вашей среде, а время сертификата — до времени создания пользователя в пределах заданного диапазона. Этот раздел реестра не влияет на пользователей или компьютеры со строгими сопоставлениями сертификатов, так как время создания сертификата и время создания пользователя не проверяются с помощью надежных сопоставлений сертификатов. Этот раздел реестра не действует, если для параметра StrongCertificateBindingEnforcement задано значение 2.

Использование этого раздела реестра является временным обходным решением для сред, в которых это требуется, и это необходимо сделать с осторожностью. Использование этого раздела реестра означает следующее для вашей среды:

• Этот раздел реестра работает только в режиме совместимости , начиная с обновлений, выпущенных 10 мая 2022 г. Проверка подлинности будет разрешена в пределах смещений компенсации, но в журнале событий будет зарегистрировано предупреждение о слабой привязке.
• Включение этого раздела реестра позволяет выполнить проверку подлинности пользователя, когда время сертификата находится до времени создания пользователя в пределах заданного диапазона в качестве слабого сопоставления. Слабые сопоставления не будут поддерживаться после установки обновлений для Windows, выпущенных в сентябре 2025 г. или позже.

Выполните следующую команду certutil, чтобы исключить сертификаты шаблона пользователя из получения нового расширения.

1. Войдите на сервер центра сертификации или присоединенный к домену клиент Windows 10 с помощью администратора предприятия или эквивалентных учетных данных.
2. Откройте командную строку и выберите Запуск от имени администратора.
3. Запустите certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Отключение добавления этого расширения приведет к удалению защиты, предоставляемой новым расширением. Рекомендуется делать это только после одного из следующих действий:

1. Вы подтверждаете, что соответствующие сертификаты недопустимы для шифрования с открытым ключом для начальной проверки подлинности (PKINIT) в проверке подлинности по протоколу Kerberos в KDC.
2. Для соответствующих сертификатов настроены другие надежные сопоставления сертификатов.

Среды с развертываниями ЦС сторонних организаций не будут защищены с помощью нового расширения SID после установки обновления Windows от 10 мая 2022 г. Затронутые клиенты должны работать с соответствующими поставщиками ЦС для решения этой проблемы или рассмотреть возможность использования других надежных сопоставлений сертификатов, описанных выше.

Дополнительные ресурсы и поддержку см. в разделе "Дополнительные ресурсы".

Нет, продление не требуется. ЦС будет поставляться в режиме совместимости. Если требуется строгое сопоставление с помощью расширения ObjectSID, потребуется новый сертификат.

В обновлении Windows от 11 февраля 2025 г. устройства, которые еще не находятся в принудительном применении (значение реестра StrongCertificateBindingEnforcement имеет значение 2), будут перемещены в принудительное применение. Если проверка подлинности запрещена, отобразится событие с идентификатором 39 (или событие с идентификатором 41 для Windows Server 2008 R2 с пакетом обновления 1 (SP1) и Windows Server 2008 с пакетом обновления 2 (SP2). На этом этапе вы сможете задать для раздела реестра значение 1 (режим совместимости).

В обновлении Windows от 9 сентября 2025 г. значение реестра StrongCertificateBindingEnforcement больше не будет поддерживаться.