Zoznam zmien
Zmena 1: 19. júna 2023:
|
|---|
Obsah tohto článku
- Súhrn
- Zisťovanie explicitne nastavených typov šifrovania kľúčov relácie
- Nastavenia kľúča databázy Registry
- Udalosti Windowsu súvisiace s CVE-2022-37966
- Najčastejšie otázky a známe problémy
- Slovník
Súhrn
Aktualizácie Windowsu vydané 8. novembra 2022 alebo neskôr riešia obídenie zabezpečenia a zraniteľnosť zvýšenia oprávnení pomocou vyjednávania overovania pomocou slabého vyjednávania RC4-HMAC.
Táto aktualizácia nastaví AES ako predvolený typ šifrovania pre kľúče relácie v kontách, ktoré ešte nie sú označené predvoleným typom šifrovania.
Ak chcete pomôcť zabezpečiť svoje prostredie, nainštalujte aktualizácie Windowsu vydané 8. novembra 2022 alebo neskôr do všetkých zariadení vrátane radičov domény. Pozrite si tému Zmena 1.
Ďalšie informácie o týchto zraniteľnostiach nájdete v CVE-2022-37966.
Zisťovanie explicitne nastavených typov šifrovania kľúčov relácie
Možno máte explicitne definované typy šifrovania vo svojich používateľských kontách, ktoré sú zraniteľné s CVE-2022-37966. Pomocou nasledujúceho dotazu služby Active Directory vyhľadajte kontá, v ktorých je explicitne povolená funkcia DES/RC4, ale nie AES:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Nastavenia kľúča databázy Registry
Po inštalácii aktualizácií systému Windows z 8. novembra 2022 alebo neskôr je pre protokol Kerberos k dispozícii nasledujúci kľúč databázy Registry:
DefaultDomainSupportedEncTypes
| Kľúč databázy Registry | HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|---|---|
| Hodnota | DefaultDomainSupportedEncTypes |
| Typ údajov | REG_DWORD |
| Hodnota údajov | 0x27 (predvolené) |
| Vyžaduje sa reštartovanie? | Nie |
Poznámka Ak potrebujete zmeniť predvolený podporovaný typ šifrovania pre používateľa alebo počítač služby Active Directory, manuálne pridajte a nakonfigurujte kľúč databázy Registry tak, aby sa nastavil nový podporovaný typ šifrovania. Táto aktualizácia nepridá automaticky kľúč databázy Registry.
Radiče domény systému Windows používajú túto hodnotu na určenie podporovaných typov šifrovania v kontách v službe Active Directory, ktorých hodnota msds-SupportedEncryptionType je prázdna alebo nie je nastavená. Počítač s podporovanou verziou operačného systému Windows automaticky nastaví parameter msds-SupportedEncryptionTypes pre toto konto počítača v službe Active Directory. Vychádza to z nakonfigurovanej hodnoty typov šifrovania, ktoré môže protokol Kerberos používať. Ďalšie informácie nájdete v téme Zabezpečenie siete: Konfigurácia typov šifrovania povolených pre protokol Kerberos.
Používateľské kontá, kontá spravovanej služby skupiny a iné kontá v službe Active Directory nemajú hodnotu msds-SupportedEncryptionTypes nastavenú automaticky.
Ak chcete nájsť podporované typy šifrovania, ktoré môžete manuálne nastaviť, pozrite si bitové príznaky podporovaných typov šifrovania. Ďalšie informácie nájdete v téme Čo by ste mali urobiť v prvom rade na prípravu prostredia a prevenciu problémov s overovaním protokolom Kerberos.
Predvolená hodnota 0x27 (DES, RC4, kľúče relácie AES) bola vybratá ako minimálna zmena potrebná pre túto aktualizáciu zabezpečenia. Zákazníkom odporúčame nastaviť hodnotu na 0x3C pre zvýšené zabezpečenie, pretože táto hodnota umožní použitie lístkov šifrovaných AES aj kľúčov relácie AES. Ak zákazníci postupovali podľa našich pokynov na prechod na prostredie iba s AES, kde sa RC4 nepoužíva pre protokol Kerberos, odporúčame, aby si nastavili hodnotu na 0x38. Pozrite si tému Zmena 1.
Udalosti Windowsu súvisiace s CVE-2022-37966
Distribučnému centru kľúčov Kerberos chýbajú silné kľúče pre konto
| Denník udalostí | Systém |
|---|---|
| Typ udalosti | Chyba |
| Zdroj udalosti | Kdcsvc |
| Identifikačné číslo udalosti | 42 |
| Text udalosti | V distribučnom centre kľúčov Kerberos chýbajú silné kľúče pre account: accountname. Ak chcete zabrániť používaniu nebezpečnej kryptografie, musíte aktualizovať heslo tohto konta. Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2210019. |
Ak nájdete túto chybu, pravdepodobne si musíte pred nastavením KrbtgtFullPacSingature = 3 alebo inštaláciou Aktualizácií Windowsu vydaných 11. júla 2023 alebo neskôr resetovať heslo krbtgt. Aktualizácia, ktorá programovo povoľuje režim vynútenia pre CVE-2022-37967, je zdokumentovaná v nasledujúcom článku vedomostnej databázy Microsoft Knowledge Base:
KB5020805: Ako spravovať zmeny protokolu Kerberos súvisiace s CVE-2022-37967
Ďalšie informácie o tom, ako to urobiť, nájdete v témeNew-KrbtgtKeys.ps1 na webovej lokalite GitHub.
Najčastejšie otázky a známe problémy
Za akých okolností je moje prostredie zraniteľné?
Účty, ktoré sú označené pre explicitné používanie RC4, sú ohrozené. Okrem toho prostredia, ktoré nemajú kľúče relácie AES v rámci konta krbgt, môžu byť ohrozené. Ak chcete tento problém zmierniť, postupujte podľa pokynov na identifikáciu zraniteľností a pomocou časti Nastavenie kľúča databázy Registry aktualizujte explicitne nastavené predvolené nastavenia šifrovania.
Čo mám najprv urobiť, aby som pripravil svoje prostredie a vyhol sa problémom s overovaním protokolu Kerberos po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr v radičoch domény?
Budete musieť overiť, či majú všetky zariadenia spoločný typ šifrovania Kerberos. Ďalšie informácie o typoch šifrovania protokolom Kerberos nájdete v téme Dešifrovanie výberu podporovaných typov šifrovania protokolom Kerberos.
Prostredia bez bežného typu šifrovania Kerberos mohli predtým fungovať vďaka automatickému pridaniu RC4 alebo pridaním AES, ak bolo RC4 zakázané prostredníctvom skupinovej politiky radičmi domény. Toto správanie sa zmenilo s aktualizáciami vydanými 8. novembra 2022 alebo neskôr a teraz sa bude striktne riadiť tým, čo je nastavené v kľúčoch databázy Registry, msds-SupportedEncryptionTypes a DefaultDomainSupportedEncTypes.
Ak konto nemá nastavenú hodnotu msds-SupportedEncryptionTypes alebo je nastavené na hodnotu 0, radiče domény majú predvolenú hodnotu 0x27 (39) alebo radič domény použije nastavenie v kľúči databázy Registry DefaultDomainSupportedEncTypes.
Ak má konto nastavené msds-SupportedEncryptionTypes , toto nastavenie sa rešpektuje a môže odhaliť zlyhanie konfigurácie bežného typu šifrovania Kerberos, ktoré je maskované predchádzajúcim správaním automatického pridania RC4 alebo AES, čo už nie je správanie po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr.
Informácie o tom, ako overiť, či máte bežný typ šifrovania Kerberos, nájdete v otázke Ako môžem overiť, či majú všetky moje zariadenia spoločný typ šifrovania Kerberos?
Ako môžem overiť, či majú všetky moje zariadenia spoločný typ šifrovania Kerberos?
V predchádzajúcej otázke nájdete ďalšie informácie o tom, prečo vaše zariadenia nemusia mať bežný typ šifrovania Kerberos po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr.
Ak ste už nainštalovali aktualizácie vydané 8. novembra 2022 alebo neskôr, zariadenia, ktoré nemajú bežný typ šifrovania Kerberos, môžete rozpoznať tak, že si pozriete denník udalostí pre udalosť Microsoft-Windows-Kerberos-Key-Distribution-Center Udalosť 27, ktorá identifikuje nespoločné typy šifrovania medzi klientmi Kerberos a vzdialenými servermi alebo službami.
Po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr mám v mojom prostredí problémy s overením protokolom Kerberos. Musím tieto problémy riešiť v klientskych zariadeniach s Windowsom alebo serveroch s Windowsom, ktoré nepoužívajú rolu radiča domény?
Inštalácia aktualizácií vydaných 8. novembra 2022 alebo neskôr v klientoch alebo serveroch s rolou iných ako radič domény by nemala ovplyvniť overovanie protokolom Kerberos vo vašom prostredí.
Po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr v radičoch domény dochádza k pretekaniu pamäte v službe Local Security Authority Subsystem Service (LSASS.exe). Čo mám robiť?
Ak chcete zmierniť tento známy problém, otvorte okno príkazového riadka ako správca a dočasne pomocou nasledujúceho príkazu nastavte kľúč databázy Registry KrbtgtFullPacSignature na hodnotu 0:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Poznámka
Poznámka Po vyriešení tohto známeho problému by ste mali nastaviť KrbtgtFullPacSignature na vyššie nastavenie v závislosti od toho, čo vaše prostredie povolí. Odporúčame, aby ste zapli režim presadzovania pravidiel hneď, ako bude vaše prostredie pripravené.
Ďalšie kroky Pracujeme na riešení a poskytneme aktualizáciu v nasledujúcom vydaní.
Prečo sa vyskytujú zlyhania overovania protokolom Kerberos v zariadeniach bez Windowsu v mojom prostredí?
Po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr v radičoch domény musia všetky zariadenia podporovať podpisovanie žiadosti AES, ako sa vyžaduje, aby boli v súlade s prísnením zabezpečenia požadovaným pre CVE-2022-37967.
Ďalšie kroky Ak už používate najaktuálnejší softvér a firmvér pre zariadenia bez Windowsu a overili ste, že medzi radičmi domény Windowsu a zariadeniami bez Windowsu je k dispozícii spoločný typ šifrovania, budete musieť požiadať o pomoc výrobcu zariadenia (OEM) alebo vymeniť zariadenia za zariadenia, ktoré sú v súlade s predpismi.
Poznámka
DÔLEŽITÉ Neodporúčame použiť žiadne alternatívne riešenie na povolenie overenia nekompatibilných zariadení, pretože to môže ohroziť vaše prostredie.
Moje zariadenia s nepodporovanou verziou Windowsu už nemajú prístup k zdrojom v mojom prostredí. K týmto zariadeniam tiež nie je možné získať prístup z aktualizovaných zariadení s Windowsom v mojom prostredí. Čo mám robiť?
Nepodporované verzie Windowsu zahŕňajú Windows XP, Windows Server 2003, Windows Server 2008 SP2 a Windows Server 2008 R2 SP1 nie sú dostupné aktualizovanými zariadeniami s Windowsom, pokiaľ nemáte licenciu ESU. Ak máte licenciu ESU, budete musieť nainštalovať aktualizácie vydané 8. novembra 2022 alebo neskôr a overiť, či má vaša konfigurácia spoločný typ šifrovania dostupný pre všetky zariadenia.
Ďalšie kroky Nainštalujte aktualizácie, ak sú k dispozícii pre vašu verziu Windowsu a máte príslušnú licenciu ESU. Ak aktualizácie nie sú k dispozícii, budete musieť inovovať na podporovanú verziu Windowsu alebo presunúť ľubovoľnú aplikáciu alebo službu do kompatibilného zariadenia.
Poznámka
DÔLEŽITÉ Neodporúčame použiť žiadne alternatívne riešenie na povolenie overenia nekompatibilných zariadení, pretože to môže ohroziť vaše prostredie.
Všetky moje zariadenia majú spoločný typ šifrovania a sú nakonfigurované len na používanie AES. Prečo sa mi chyby overenia protokolu Kerberos zobrazujú aj po inštalácii aktualizácie z 8. novembra 2022?
Tento známy problém bol vyriešený v aktualizáciách mimo pásma vydaných 17. novembra 2022 a 18. novembra 2022 pre inštaláciu na všetkých radičoch domény vo vašom prostredí. Na vyriešenie tohto problému nemusíte inštalovať žiadnu aktualizáciu ani vykonávať žiadne zmeny na iných serveroch alebo klientskych zariadeniach vo vašom prostredí. Ak ste pre tento problém použili nejaké alternatívne riešenie alebo zmiernenia, už nie sú potrebné a odporúčame ich odstrániť.
Ak chcete získať samostatný balík pre tieto aktualizácie mimo pásma, vyhľadajte číslo KB v Katalógu služby Microsoft Update. Tieto aktualizácie môžete manuálne importovať do služieb Windows Server Update Services (WSUS) a Microsoft Endpoint Configuration Manager. Pokyny služby WSUS nájdete v službe WSUS a na lokalite katalógu. Pokyny pre Configuration Manager nájdete v téme Import aktualizácií z katalógu služby Microsoft Update.
Poznámka
Poznámka Nasledujúce aktualizácie nie sú k dispozícii na lokalite Windows Update a nenainštalujú sa automaticky.
Kumulatívne aktualizácie:
Poznámka
Poznámka Pred inštaláciou týchto kumulatívnych aktualizácií nemusíte použiť žiadnu predchádzajúcu aktualizáciu. Ak ste už nainštalovali aktualizácie vydané 8. novembra 2022, pred inštaláciou novších aktualizácií vrátane aktualizácií uvedených vyššie nemusíte príslušné aktualizácie odinštalovať.
Samostatné aktualizácie:
- Windows Server 2012 R2: KB5021653
- Windows Server 2012: KB5021652
- Windows Server 2008 R2 SP1: KB5021651 (vydaná 18. novembra 2022)
- Windows Server 2008 SP2: KB5021657
Poznámka
Poznámky
- Ak používate iba aktualizácie zabezpečenia pre tieto verzie systému Windows Server, stačí nainštalovať tieto samostatné aktualizácie iba v mesiaci november 2022. Aktualizácie zabezpečenia nie sú kumulatívne a budete tiež musieť nainštalovať všetky predchádzajúce aktualizácie zabezpečenia, aby boli úplne aktuálne. Mesačné kumulatívne aktualizácie sú kumulatívne a zahŕňajú aktualizácie zabezpečenia a všetky aktualizácie na zvýšenie kvality.
- Ak používate mesačné kumulatívne aktualizácie, budete musieť na vyriešenie tohto problému nainštalovať samostatné aktualizácie uvedené vyššie a nainštalovať mesačné kumulatívne aktualizácie vydané 8. novembra 2022, aby ste dostávali aktualizácie pre zvýšenie kvality z novembra 2022. Ak ste už nainštalovali aktualizácie vydané 8. novembra 2022, pred inštaláciou novších aktualizácií vrátane aktualizácií uvedených vyššie nemusíte príslušné aktualizácie odinštalovať.
V mojich zariadeniach s Windowsom používam aplikáciu, ktorá používa implementáciu protokolu Kerberos, ktorá nie je od spoločnosti Microsoft, a zobrazujú sa problémy s overením protokolu Kerberos. Čo mám robiť?
Ak ste overili konfiguráciu svojho prostredia a stále sa vyskytujú problémy s implementáciou protokolu Kerberos, ktorá nie je od spoločnosti Microsoft, budete potrebovať aktualizácie alebo podporu od vývojára alebo výrobcu aplikácie alebo zariadenia.
Mám v službe Active Directory nastavené msds-SupportedEncryptionTypes pre všetky kontá nakonfigurované ako nenulové bez nastavených bitov typu šifrovania (najmenej významných 5 bitov), ale po inštalácii aktualizácií vydaných 8. novembra 2022 alebo neskôr v radičoch domény dochádza k zlyhaniam overovania. Čo mám robiť?
Tento známy problém možno zmierniť vykonaním niektorého z týchto krokov:
msds-SupportedEncryptionTypes nastavte bitovým spôsobom alebo ho nastavte na aktuálny predvolený 0x27, aby sa zachovala jeho aktuálna hodnota. Príklad:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
Nastavte msds-SupportEncryptionTypes na hodnotu 0 , aby radiče domény mohli používať predvolenú hodnotu 0x27.
Ďalšie kroky Pracujeme na riešení a poskytneme aktualizáciu v nasledujúcom vydaní.
Slovník
Advanced Encryption Standard (AES)
Rozšírené šifrovanie Standard (AES) je bloková šifra, ktorá nahrádza Standard DES (Data Encryption ). Službu AES je možné použiť na ochranu elektronických údajov. Algoritmus AES sa môže použiť na šifrovanie (šifrovanie) a dešifrovanie (dešifrovanie) informácií. Šifrovanie konvertuje údaje do nezrozumiteľnej podoby nazývanej šifrovaný text; Dešifrovaním šifrovaného textu sa údaje skonvertujú späť do pôvodnej podoby, nazývanej obyčajný text. Funkcia AES sa používa v kryptografii so symetrickým kľúčom, čo znamená, že rovnaký kľúč sa používa pre operácie šifrovania a dešifrovania. Je to tiež bloková šifra, čo znamená, že pracuje s blokmi obyčajného textu a šifrovaného textu pevnej veľkosti a vyžaduje, aby veľkosť obyčajného textu, ako aj šifrovaného textu boli presným násobkom tejto veľkosti bloku. Funkcia AES je známa aj ako Rijndaelov symetrický šifrovací algoritmus [FIPS197].
Kerberos
Kerberos je autentifikačný protokol počítačovej siete, ktorý funguje na základe "ticketov" a umožňuje uzlom komunikujúcim cez sieť preukázať si navzájom svoju identitu bezpečným spôsobom.
kľúčové distribučné centrum (KDC)
Služba Kerberos, ktorá implementuje autentifikačné služby a služby udeľovania lístkov špecifikované v protokole Kerberos. Služba sa spúšťa v počítačoch vybratých správcom oblasti alebo domény. Nie je prítomný v každom počítači v sieti. Musí mať prístup k databáze kont pre oblasť, ktorej slúži. Jednotky KDC sú integrované do role radiča domény . Ide o sieťovú službu, ktorá poskytuje lístky klientom na použitie pri overovaní služieb.
RC4 – HMAC
RC4-HMAC (RC4) je symetrický šifrovací algoritmus s premenlivou dĺžkou kľúča. Ďalšie informácie nájdete v [ SCHNEIER] oddiel 17.1.
Tlačidlo relácie
Symetrický kľúč s relatívne krátkou životnosťou (kryptografický kľúč dohodnutý klientom a serverom na základe zdieľaného tajného kľúča). Životnosť kľúčov relácie je viazaná reláciou, ku ktorej je priradená. Kľúč relácie musí byť dostatočne silný, aby počas celej životnosti relácie odolal kryptoanalýze.
Udeľujúci lístok
Špeciálny typ lístka, ktorý je možné použiť na získanie ďalších vstupeniek. Cestovný lístok (TGT) sa získa po počiatočnom overení vo výmene autentifikačnej služby (AS); Potom používatelia nemusia preukazovať svoje poverenia, ale môžu použiť TGT na získanie ďalších tiketov.