KB5014754: Zmeny overovania na základe certifikátu na radičoch domény Windowsu

Nenašli sa žiadne silné priradenia certifikátov a certifikát nemal nové rozšírenie identifikátora zabezpečenia (SID), ktoré by KDC dokázal overiť.

Certifikát bol používateľovi vydaný skôr, ako používateľ existoval v službe Active Directory, a nebolo možné nájsť žiadne silné priradenie. Táto udalosť sa zapisuje do denníka len vtedy, keď je KDC v režime kompatibility.

SID obsiahnutý v novej prípone certifikátu používateľa sa nezhoduje s identifikátorom SID používateľa, čo znamená, že certifikát bol vydaný inému používateľovi.

Poznámka Niektoré polia, ako napríklad Vydavateľ, Predmet a Sériové číslo, sa vykazujú vo formáte preposielania. Keď pridáte reťazec priradenia do atribútu altSecurityIdentities , tento formát musíte obrátiť. Ak napríklad chcete pridať priradenie X509IssuerSerialNumber používateľovi, môžete vyhľadávať v poliach "Vydavateľ" a "Sériové číslo" certifikátu, ktorý chcete priradiť používateľovi. Pozrite si vzorový výstup nižšie.

• Vydavateľ: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Sériové číslo: 2B0000000011AC0000000012

Potom aktualizujte atribút altSecurityIdentities daného používateľa v službe Active Directory pomocou nasledujúceho reťazca:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Ak chcete aktualizovať tento atribút pomocou prostredia PowerShell, môžete použiť príkaz uvedený nižšie. Nezabúdajte, že predvolene majú povolenie aktualizovať tento atribút len správcovia domény.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Všimnite si, že keď obrátite hodnotu SerialNumber, musíte zachovať poradie bajtov. To znamená, že obrátenie poradového čísla "A1B2C3" by malo mať za následok reťazec "C3B2A1" a nie "3C2B1A". Ďalšie informácie nájdete v téme Ako na to: Priradenie používateľa k certifikátu prostredníctvom všetkých metód, ktoré sú k dispozícii v atribúte altSecurityIdentities.

Po inštalácii aktualizácií Windowsu z 10. mája 2022 budú zariadenia v režime kompatibility. Ak je možné certifikát konzistentne priradiť k používateľovi, overenie prebehne podľa očakávania. Ak je možné certifikát priradiť k používateľovi len slabo, overenie prebehne podľa očakávania. Ak však certifikát nie je starší ako používateľ, zapíše sa upozorňujúce hlásenie. Ak je certifikát starší ako daný používateľ a kľúč databázy Registry na spätné datovanie certifikátu nie je prítomný alebo rozsah je mimo kompenzácie za spätné datovanie, overenie zlyhá a zapíše sa do denníka chybové hlásenie.  Ak je nakonfigurovaný kľúč databázy Registry Certificate Backdating, do denníka udalostí sa zapíše upozorňujúce hlásenie, ak dátumy spadajú do kompenzácie za spätné datovanie.

Po inštalácii aktualizácií Windowsu z 10. mája 2022 sledujte všetky upozorňujúce správy, ktoré sa môžu zobraziť po mesiaci alebo skôr. Ak sa nezobrazujú žiadne upozornenia, dôrazne odporúčame zapnúť režim úplného vynútenia na všetkých radičoch domény, ktoré používajú overovanie na základe certifikátu. Na zapnutie režimu úplného presadzovania môžete použiť kľúč databázy Registry KDC .

Pokiaľ nebudú radiče domén aktualizované na režim auditu alebo režim vynútenia pomocou kľúča databázy Registry StrongCertificateBindingEnforcement , po inštalácii aktualizácie zabezpečenia Windowsu z februára 2025 prejdú do režimu úplného vynútenia. Overenie bude zamietnuté, ak certifikát nie je možné silne priradiť. Možnosť prejsť späť do režimu kompatibility zostane až do inštalácie aktualizácie zabezpečenia Windowsu z 9. septembra 2025. Po tomto dátume už nebude kľúč databázy Registry StrongCertificateBindingEnforcement podporovaný

Ak overovanie na základe certifikátu závisí od slabého priradenia, ktoré nie je možné presunúť z prostredia, môžete prepnúť radiče domény do režimu vypnutia pomocou nastavenia kľúča databázy Registry. Spoločnosť Microsoft to neodporúča a 11. apríla 2023 odstránime režim vypnutia.

Po nainštalovaní aktualizácií Windowsu z 13. februára 2024 alebo novších na serveri Server 2019 a novších a podporovaných klientov s nainštalovanou voliteľnou funkciou RSAT sa pri priradení certifikátu v časti Používatelia služby Active Directory & počítačoch predvolene vyberie silné priradenie pomocou X509IssuerSerialNumber namiesto slabého priradenia pomocou X509IssuerSubject. Toto nastavenie je stále možné zmeniť podľa potreby.

Príznaky

Spoločnosť Microsoft dostala hlásenia, že nastavenie "Spracovať, aj keď sa objekty skupinovej politiky nezmenili" v rámci objektu skupinová politika "Konfigurácia> počítačaŠablóny> na správusystémuskupinová>politikaKonfigurácia>spracovania politiky databázy Registry" môže občas rušiť priradenia na základe názvu na radičoch domény.

Alternatívne riešenie

Ak chcete tento problém obísť, vypnite nastavenie "Spracovávať aj v prípade, že sa objekty skupinovej politiky nezmenili" na radičoch domény. Urobte to iba v prípade, že sa vyžaduje priradenie na základe názvu, ako je definované v skupinovej politike Konfigurácia> počítača, Šablóny> na správu,Systém>,KDC>,Povoliť silné priradenia certifikátov na základe názvov. Ďalšie informácie nájdete v téme Povolenie silného priradenia na základe názvov v scenároch štátnej správy.

Ďalší krok

Tieto správy prešetrujeme a poskytneme vám ďalšie informácie, keď budú k dispozícii.

• Pomocou prevádzkového denníka protokolu Kerberos v príslušnom počítači určite, ktorému radiču domény zlyháva prihlásenie. Prejdite na denníky \Zobrazovač udalostí>a aplikácií a služiebMicrosoft \Windows\Security-Kerberos\Operational.
• Vyhľadajte relevantné udalosti v denníku systémových udalostí v radiči domény, voči ktorému sa konto pokúša overiť.
• Ak je certifikát starší ako konto, znovu ho vydajte alebo pridajte ku kontu zabezpečené priradenie altSecurityIdentities (pozrite tému Priradenia certifikátov).
• Ak certifikát obsahuje rozšírenie identifikátora SID, overte, či sa identifikátor SID zhoduje s kontom.
• Ak sa certifikát používa na overenie viacerých rôznych kont, každé konto bude potrebovať samostatné priradenie altSecurityIdentities .
• Ak certifikát nemá zabezpečené priradenie ku kontu, pridajte ho alebo ponechajte doménu v režime kompatibility, kým ho nebude možné pridať.

Príkladom priradenia certifikátu TLS je použitie intranetovej webovej aplikácie služby IIS.

• Po inštalácii ochrany CVE-2022-26391 a CVE-2022-26923 tieto scenáre predvolene používajú protokol Certifikačnej služby Kerberos pre používateľa (S4U) na priradenie certifikátov a autentifikáciu.
• V protokole Kerberos Certificate S4U prúdi žiadosť o overenie z aplikačného servera do radiča domény, nie z klienta na radič domény. Dôležité udalosti preto budú na aplikačnom serveri.

Tento kľúč databázy Registry nebude podporovaný po inštalácii aktualizácií pre Windows vydaných v septembri 2025 alebo neskôr.

Keď serverová aplikácia vyžaduje overenie klienta, Schannel sa automaticky pokúsi priradiť certifikát, ktorý klient TLS poskytuje používateľskému kontu. Používateľov, ktorí sa prihlasujú pomocou klientskeho certifikátu, môžete overiť vytvorením priradení, cez ktoré spoja informácie o certifikáte a používateľské konto Windowsu. Po vytvorení a povolení priradenia certifikátu serverová aplikácia automaticky priradí danému používateľovi príslušné používateľské konto Windowsu vždy, keď klient predloží klientsky certifikát.

Schannel sa pokúsi priradiť každú metódu priradenia certifikátu, ktorú ste povolili, kým sa nejaká nepodarí. Schannel sa najskôr pokúsi priradiť priradenia služby Service-for-User-to-Self (S4U2Self). Priradenia certifikátov Subject/Issuer, Issuer a UPN sa teraz považujú za slabé a predvolene boli vypnuté. Skrytý súčet vybratých možností určuje zoznam dostupných metód priradenia certifikátov.

Predvolený kľúč databázy Registry SChannel bol 0x1F a teraz je 0x18. Ak sa vyskytnú zlyhania overovania v aplikáciách servera založených na kanáli Schannel, odporúčame vám vykonať test. Pridajte alebo upravte hodnotu kľúča databázy Registry CertificateMappingMethods na radiči domény, nastavte ju na možnosť 0x1F a skontrolujte, či sa problém vyriešil. Ďalšie informácie nájdete v denníkoch systémových udalostí radiča domény, kde sa nenachádzajú chyby uvedené v tomto článku. Majte na pamäti, že pri zmene hodnoty kľúča databázy Registry SChannel späť na predchádzajúcu predvolenú hodnotu (0x1F) sa vráti k používaniu slabých metód priradenia certifikátov.

Ďalšie zdroje a podporu nájdete v časti Ďalšie zdroje.

Po nainštalovaní aktualizácií, ktoré sa týkajú CVE-2022-26931 a CVE-2022-26923, môže overenie zlyhať v prípadoch, keď sú používateľské certifikáty staršie ako čas vytvorenia používateľov. Tento kľúč databázy Registry umožňuje úspešné overenie v prípade, že vo vašom prostredí používate slabé priradenia certifikátu a čas certifikátu je pred časom vytvorenia používateľa v rámci nastaveného rozsahu. Tento kľúč databázy Registry nemá vplyv na používateľov alebo počítače so silnými priradeniami certifikátov, pretože čas certifikátu a čas vytvorenia používateľa sa nekontrolujú pri silných priradeniach certifikátov. Tento kľúč databázy Registry nemá žiadny vplyv, keď je hodnota StrongCertificateBindingEnforcement nastavená na hodnotu 2.

Použitie tohto kľúča databázy Registry predstavuje dočasné alternatívne riešenie pre prostredia, ktoré ho vyžadujú a ktoré sa musí postupovať opatrne. Použitie tohto kľúča databázy Registry znamená pre vaše prostredie nasledovné:

• Tento kľúč databázy Registry funguje len v režime kompatibility od aktualizácií vydaných 10. mája 2022. Overovanie bude povolené v rámci kompenzačného posunu spätného dátumu, ale pre slabú väzbu sa zapíše upozornenie denníka udalostí.
• Povolenie tohto kľúča databázy Registry umožňuje overenie používateľa, keď je čas certifikátu pred časom vytvorenia používateľa v rámci nastaveného rozsahu ako slabé priradenie. Slabé priradenia nebudú podporované po inštalácii aktualizácií pre Windows vydaných v septembri 2025 alebo neskôr.

Spustením nasledujúceho príkazu certutil vylúčite certifikáty používateľskej šablóny z získania nového rozšírenia.

1. Prihláste sa na server certifikačnej autority alebo do klienta Windowsu 10 pripojeného k doméne pomocou správcu podniku alebo ekvivalentných poverení.
2. Otvorte príkazový riadok a vyberte možnosť Spustiť ako správca.
3. Spustite certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Zakázaním pridania tohto rozšírenia sa odstráni ochrana, ktorú poskytuje nové rozšírenie. Zvážte to len po niektorom z týchto krokov:

1. Potvrdíte, že príslušné certifikáty nie sú prijateľné pre kryptografiu s verejným kľúčom na počiatočné overenie (PKINIT) v overovaní protokolom Kerberos na lokalite KDC
2. Zodpovedajúce certifikáty majú nakonfigurované iné silné priradenia certifikátov

Prostredia, ktoré majú nasadenia iných ako Microsoft CA, nebudú chránené pomocou nového rozšírenia SID po inštalácii aktualizácie Windowsu z 10. mája 2022. Ovplyvnení zákazníci by pri riešení tohto problému mali spolupracovať s príslušnými dodávateľmi certifikačných autorov, alebo by mali zvážiť použitie iných silných priradení certifikátov popísaných vyššie.

Ďalšie zdroje a podporu nájdete v časti Ďalšie zdroje.

Nie, obnovenie nie je potrebné. Certifikačná autorita sa bude dodávať v režime kompatibility. Ak chcete silné mapovanie pomocou rozšírenia ObjectSID, budete potrebovať nový certifikát.

V aktualizácii Windowsu z 11. februára 2025 sa zariadenia, ktoré ešte nie sú v vynútení (hodnota databázy registry StrongCertificateBindingEnforcement je nastavená na hodnotu 2), presunú do vynútenia. Ak je overenie odmietnuté, zobrazí sa udalosť ID 39 (alebo ID udalosti 41 pre Windows Server 2008 R2 SP1 a Windows Server 2008 SP2). V tejto fáze budete mať možnosť nastaviť hodnotu kľúča databázy Registry späť na hodnotu 1 (režim kompatibility).

V aktualizácii Windowsu z 9. septembra 2025 už nebude podporovaná hodnota databázy Registry StrongCertificateBindingEnforce .