Spravovanie používania RC4 v KDC protokolu Kerberos na zmeny vydávania tiketov kont služby súvisiace s CVE-2026-20833

Obsah tohto článku

• Súhrn
• Dajte sa do toho
• Načasovanie aktualizácií
• Pokyny na nasadenie
• Nastavenie databázy Registry
• Udalosti auditu
• Najčastejšie otázky (FAQ)
• Zdroje informácií
• Zoznam zmien

Súhrn

Aktualizácie Windowsu vydané 13. januára 2026 a neskôr obsahujú ochranu pred zraniteľnosťou s overovacím protokolom Kerberos. Aktualizácie Windowsu riešia zraniteľnosť zverejnenia informácií v CVE-2026-20833 , ktorá môže útočníkovi umožniť získať žiadosti o službu so slabými alebo staršími typmi šifrovania, ako je RC4, na vykonanie offline útokov s cieľom obnoviť heslo konta služby.

Na zmiernenie tejto chyby aktualizácie Windowsu vydané 14. apríla 2026 a neskôr menia predvolenú hodnotu Kerberos Key Distribution Center (KDC) pre DefaultDomainSupportedEncTypes, pokiaľ správcovia nezapnú režim vynútenia skôr. Aktualizované radiče domény spustené v režime presadzovania pravidiel budú predpokladať podporu konfigurácie typu šifrovania AES (Advanced Encryption Standard), iba ak nie je zadaná žiadna explicitná konfigurácia. Ďalšie informácie nájdete v téme Bitové príznaky podporovaných typov šifrovania. Predvolená hodnota pre DefaultDomainSupportedEncTypes sa použije v prípade, že explicitná hodnota chýba.

V radičoch domény s definovanou hodnotou databázy Registry DefaultDomainSupportedEncTypes tieto zmeny funkčne neovplyvnia správanie. Do denníka systémových udalostí sa však zapíše udalosť auditu s ID udalosti: 205 , ak je existujúca konfigurácia DefaultDomainSupportedEncTypes nezabezpečená (napríklad keď sa používa šifra RC4).

Späť na začiatok

Dajte sa do toho

V záujme ochrany životného prostredia a prevencie výpadkov odporúčame:

• AKTUALIZÁCIA Radiče domény Microsoft Active Directory počnúc aktualizáciami Windowsu vydanými 13. januára 2026 alebo neskôr.
• MONITORUJTE denník systémových udalostí pre ktorékoľvek z deviatich udalostí auditu KDCSVC 201 > 209 zaznamenaných na radičoch domény Windows Server 2012 a novších, ktoré identifikujú riziká s povolením ochrany RC4.
• ZMIERNENIE Udalosti KDCSVC zaznamenané v denníku systémových udalostí, ktoré bránia manuálnemu alebo programovanému zapnutiu ochrany RC4.
• POVOLIŤ Režim presadzovania na riešenie zraniteľností vyriešených v CVE-2026-20833 vo vašom prostredí, keď sa už nezapisujú upozornenia, blokovania alebo udalosti zásad.

Režim vynútenia sa automaticky zapne inštaláciou aktualizácií Windowsu vydaných v apríli 2026 alebo neskôr na všetkých radičoch domény Windowsu a zablokuje zraniteľné pripojenia z nekompatibilných zariadení.  V tom čase auditovanie nebudete môcť zakázať, ale môžete prejsť späť na nastavenie režimu auditovania. Režim auditu sa odstráni v júli 2026, ako je uvedené v časti Načasovanie aktualizácií , a režim presadzovania bude povolený na všetkých radičoch domény Windowsu a zablokuje zraniteľné pripojenia z nekompatibilných zariadení.

Ak budete potrebovať využívať RC4 po apríli 2026, odporúčame explicitne povoliť RC4 v rámci bitovej masky msds-SupportedEncryptionTypes v službách, ktoré budú musieť prijať použitie RC4.

Späť na začiatok

Načasovanie aktualizácií

13. januára 2026 – počiatočná fáza nasadenia

Fáza počiatočného nasadenia začína aktualizáciami vydanými 13. januára 2026 a neskôr a pokračuje neskoršími aktualizáciami Windowsu až do fázy presadzovania pravidiel . Cieľom tejto fázy je upozorniť zákazníkov na nové opatrenia na presadzovanie zabezpečenia, ktoré sa zavedú v druhej fáze nasadenia. Táto aktualizácia:

• Poskytuje auditné udalosti s cieľom upozorniť zákazníkov, ktorých nadchádzajúce sprísnenie zabezpečenia môže negatívne ovplyvniť.
• Zavádza podporu pre hodnotu databázy Registry RC4DefaultDisablementPhase po tom, čo správca proaktívne povolí zmenu nastavením hodnoty na 2 v radičoch domény, keď udalosti auditu KDCSVC naznačujú, že je to bezpečné.

14. apríla 2026 – Fáza presadzovania s manuálnym vrátením zmien

Táto aktualizácia mení predvolenú hodnotu DefaultDomainSupportedEncTypes pre operácie KDC s cieľom využívať AES-SHA1 pre kontá, ktoré nemajú definovaný explicitný atribút msds-SupportedEncryptionTypes služby Active Directory.

Táto fáza zmení predvolenú hodnotu pre DefaultDomainSupportedEncTypes iba na AES-SHA1: 0x18.

Táto fáza tiež umožňuje manuálnu konfiguráciu hodnoty vrátenia zmien RC4DefaultDisablementPhase až do programového vynútenia v júli 2026.

Júl 2026 – fáza presadzovania

Aktualizácie Windowsu vydané v júli 2026 alebo neskôr odstránia podporu podkľúča databázy Registry RC4DefaultDisablementPhase.

Späť na začiatok

Pokyny na nasadenie

Ak chcete nasadiť aktualizácie Windowsu vydané 13. januára 2026 alebo neskôr, postupujte takto:

1. AKTUALIZUJTE radiče domény pomocou aktualizácie Windowsu vydanej 13. januára 2026 alebo neskôr.
2. MONITORUJTE udalosti zaznamenané počas počiatočnej fázy nasadenia na pomoc pri zabezpečení prostredia.
3. PRESUŇTE radiče domény do režimu presadzovania pomocou časti Nastavenia databázy Registry .

Krok 1: AKTUALIZÁCIA

Po nasadení aktualizácie nasaďte aktualizáciu Windowsu vydanú 13. januára 2026 alebo neskôr do všetkých príslušných služieb Windows Active Directory spustených ako radič domény.

• Udalosti auditu sa zobrazia v denníkoch systémových udalostí, ak radiče domény systému Windows Server 2012 alebo novší prijímajú žiadosti o žiadosti o žiadosti o žiadosti o podporu služby Kerberos, ktoré vyžadujú použitie šifrovania RC4, ale konto služby má predvolenú konfiguráciu šifrovania.
• Do denníka systémových udalostí sa zapíše udalosť auditu 205, ak má radič domény explicitnú konfiguráciu DefaultDomainSupportedEncTypes , ktorá umožňuje šifrovanie RC4.

Krok 2: MONITOROVANIE

Ak sa po aktualizácii radičov domény nezobrazujú udalosti auditu zdokumentované v tomto článku, prepnite do režimu vynútenia zmenou hodnoty databázy Registry RC4DefaultDisablementPhase na hodnotu 2.

Ak sa vygenerujú udalosti auditu, budete musieť buď odstrániť závislosti od RC4, alebo explicitne nakonfigurovať atribút kont msds-SupportedEncryptionTypes tak, aby podporoval ďalšie používanie RC4 po manuálnom alebo automatickom zapnutí režimu vynútenia .

Správcom, ktorí majú záujem o nápravu používania RC4 v širšom kontexte, než je popísané v tomto článku, odporúčame ďalšie informácie preštudovať si tému Zisťovanie a náprava používania RC4 v protokole Kerberos .

Krok č. 3: ZAPNITE

Zapnite režim vynútenia na riešenie zraniteľností CVE-2026-20833 vo svojom prostredí.

• Ak je KDC požiadaný o poskytnutie žiadosti o službu RC4 pre konto s predvolenou konfiguráciou, zaznamená sa chybová udalosť.
• Naďalej sa bude zobrazovať zaznamenané ID udalosti: 205 pre akúkoľvek inzabezpečenú konfiguráciu DefaultDomainSupportedEncTypes.

Späť na začiatok

Nastavenie databázy Registry

Po inštalácii aktualizácií Windowsu vydaných 13. januára 2026 alebo neskôr je pre protokol Kerberos k dispozícii nasledujúci kľúč databázy Registry.

RC4DefaultDisablementPhase

Tento kľúč databázy Registry sa používa na nasadenie zmien protokolu Kerberos. Tento kľúč databázy Registry je dočasný a po dátume presadzovania pravidiel sa už nebude čítať.

Kľúč databázy Registry	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters
Typ údajov	REG_DWORD
Názov hodnoty	RC4DefaultDisablementPhase
Value data (Údaje hodnoty)	0 – Žiadny audit, žiadna zmena 1 - Udalosti upozornení sa zaznamenajú pri predvolenom používaní RC4. (Predvolená fáza 1) 2 – Kerberos sa spustí za predpokladu, že RC4 nie je predvolene povolený. (Predvolená fáza 2)
Vyžaduje sa reštartovanie?	Áno

Späť na začiatok

Udalosti auditu

Po inštalácii aktualizácií Windowsu vydaných 13. januára 2026 alebo neskôr sa do denníka systémových udalostí systému Windows Server 2012 a novších verzií, ktoré bežia ako radič domény, pridajú nasledujúce typy udalostí auditu KSCSVC.

Obsah tejto časti

• ID udalosti: 201
• ID udalosti: 202
• Identifikácia udalosti: 203
• Identifikácia udalosti: 204
• ID udalosti: 205
• ID udalosti: 206
• Identifikácia udalosti: 207
• Identifikácia udalosti: 208
• ID udalosti: 209
• Poznámka týkajúca sa implicitnej zmeny výberu šifrovania žiadosti služby

Späť na začiatok

ID udalosti: 201

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	201
Text udalosti	Centrum distribúcie kľúčov zistilo <použitie názvu> šifrovania, ktoré nebude vo fáze presadzovania podpory, pretože služba msds-SupportedEncryptionTypes nie je definovaná a klient podporuje iba nezabezpečené typy šifrovania. Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	ID udalosti: 201 sa zaznamená, ak: Klient inzeruje iba RC4 ako inzerované typy Cieľová služba NEMÁ definovanú množinu MSDS Radič domény NEMÁ definované DDSET Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 1 Warning Event 201 switchs into Error event 203 in Enforcement mode Táto udalosť sa zapisuje do denníka na základe požiadavky Upozornenie: Udalosť 201 sa NEZAPISUJE, ak je manuálne definovaná hodnota DefaultDomainSupportedEncTypes

späť na Udalosti auditu

ID udalosti: 202

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	202
Text udalosti	Centrum distribúcie kľúčov zistilo <použitie šifrovaného názvu> , ktoré nebude vo fáze presadzovania podpory, pretože služba msds-SupportedEncryptionTypes nie je definovaná a konto služby obsahuje iba nezabezpečené kľúče. Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť Upozornenie 202 sa zaznamená, ak: Cieľová služba nemá kľúče AES Cieľová služba NEMÁ definovanú množinu MSDS Radič domény NEMÁ definované DDSET Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 1 Chybová udalosť 202 prechádza do chyby 204 v režime vynútenia Udalosť Upozornenie 202 sa zapíše na jednu žiadosť Upozornenie: Udalosť 202 sa NEZAPISUJE, ak je manuálne definovaná hodnota DefaultDomainSupportedEncTypes

späť na Udalosti auditu

Identifikácia udalosti: 203

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	203
Text udalosti	Centrum distribúcie kľúčov zablokovalo použitie šifrovania, pretože služba msds-SupportedEncryptionTypes nie je definovaná a klient podporuje iba nezabezpečené typy šifrovania. Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť chyby 203 sa zapíše, ak: Klient inzeruje iba RC4 ako inzerované typy Cieľová služba NEMÁ definovanú množinu MSDS Radič domény NEMÁ definované DDSET Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 2 Na žiadosť

späť na Udalosti auditu

Identifikácia udalosti: 204

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	204
Text udalosti	Centrum distribúcie kľúčov zablokovalo použitie šifrovania, pretože služba msds-SupportedEncryptionTypes nie je definovaná a konto služby má iba nezabezpečené kľúče. Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť chyby 204 sa zapíše, ak: Cieľová služba nemá kľúče AES Cieľová služba NEMÁ definovanú množinu MSDS Radič domény NEMÁ definované DDSET Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 2 Na žiadosť

späť na Udalosti auditu

ID udalosti: 205

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	205
Text udalosti	Centrum distribúcie kľúčov zistilo explicitné povolenie šifrovania v predvolenej konfigurácii politiky podporovaných typov šifrovania. Šifrované šifry: <Povolené nezabezpečené šifry> DefaultDomainSupportedEncTypes: <nakonfigurovaná hodnota DefaultDomainSupportedEncTypes> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť Upozornenie 205 sa zapíše, ak: Radič domény DEFINOVAL nastavenie DDSET tak, aby zahŕňal všetko okrem AES-SHA1. Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na 1, 2 NIKDY sa nezmení na chybu Cieľom je upozorniť zákazníka na nebezpečné správanie, ktoré nebudeme meniť Zaznamenané zakaždým pri spustení KDCSVC

späť na Udalosti auditu

ID udalosti: 206

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	206
Text udalosti	Centrum distribúcie kľúčov zistilo <použitie šifrovaného názvu> , ktoré nebude vo fáze presadzovania podporované, pretože služba msds-SupportedEncryptionTypes je nakonfigurovaná tak, aby podporovala iba AES-SHA1, ale klient neinzeruje AES-SHA1 Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť Upozornenie 206 sa zaznamená, ak: Klient inzeruje RC4 iba ako inzerované typy Nastane niektorá z týchto situácií: Cieľová služba HAS MSDS-SET definované len na AES-SHA1 Radič domény MÁ DDSET definovaný len na AES-SHA1 Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 1 Udalosť upozornenia 2016 prechádza na udalosť chyby 2018 v režime vynútenia Prihlásené na základe požiadavky

späť na Udalosti auditu

Identifikácia udalosti: 207

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	207
Text udalosti	Centrum distribúcie kľúčov zistilo <použitie šifrovaného názvu> , ktoré nebude vo fáze presadzovania podpory, pretože služba msds-SupportedEncryptionTypes je nakonfigurovaná tak, aby podporovala iba AES-SHA1, ale konto služby nemá kľúče AES-SHA1. Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Udalosť Upozornenie 207 sa zaznamená, ak: Cieľová služba nemá kľúče AES Nastane niektorá z týchto situácií: Cieľová služba HAS MSDS-SET definované len na AES-SHA1 Radič domény MÁ DDSET definovaný len na AES-SHA1 Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 1 V režime vynútenia sa zmení na 209 (chyba) Na žiadosť

späť na Udalosti auditu

Identifikácia udalosti: 208

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	208
Text udalosti	Centrum distribúcie kľúčov úmyselne odmietlo použitie šifrovania, pretože služba msds-SupportedEncryptionTypes je nakonfigurovaná tak, aby podporovala iba AES-SHA1, ale klient neoznamuje AES-SHA1 Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Chybová udalosť 208 sa zapíše, ak: Klient inzeruje iba RC4 ako inzerované typy Nastanú aj ďalšie z týchto situácií: Cieľová služba HAS MSDS-SET definované len na AES-SHA1 Radič domény MÁ DDSET definovaný len na AES-SHA1 Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 2 Na žiadosť

späť na Udalosti auditu

ID udalosti: 209

Denník udalostí	Systém
Typ udalosti	Upozornenie
Zdroj udalosti	Kdcsvc
Identifikačné číslo udalosti	209
Text udalosti	Centrum distribúcie kľúčov úmyselne odmietlo použitie šifrovania, pretože služba msds-SupportedEncryptionTypes je nakonfigurovaná tak, aby podporovala iba AES-SHA1, ale konto služby nemá kľúče AES-SHA1 Informácie o konte Názov účtu: <Názov konta> Názov poskytnutej ríše: <Poskytnutý názov ríše> msds-SupportedEncryptionTypes: <Podporované typy šifrovania> Dostupné klávesy: <Dostupné klávesy> Informácie o servise: Názov služby: <Názov služby> ID služby: <SID služby> msds-SupportedEncryptionTypes: <typy šifrovania podporované službou> Dostupné kľúče: <Kľúče k dispozícii v službe> Informácie o radiči domény: msds-SupportedEncryptionTypes: <podporované typy šifrovania radiča domény> DefaultDomainSupportedEncTypes: <hodnota DefaultDomainSupportedEncTypes> Dostupné kľúče: <dostupné klávesy radiča domény> Informácie o sieti: Adresa klienta: <IP adresa klienta> Port klienta: <Port klienta> Inzerované typy šifrovania: <Inzerované typy šifrovania protokolom Kerberos> Ďalšie informácie nájdete v téme https://go.microsoft.com/fwlink/?linkid=2344614.
Komentáre	Chybová udalosť 209 sa zapíše, ak: Cieľová služba nemá kľúče AES Nastane niektorá z týchto situácií: Cieľová služba HAS MSDS-SET definované len na AES-SHA1 Radič domény MÁ DDSET definovaný len na AES-SHA1 Hodnota databázy Registry RC4DefaultDisablementPhase je nastavená na hodnotu 2 Na žiadosť

späť na Udalosti auditu

Poznámka:

Pokiaľ ide o implicitnú zmenu výberu šifrovania žiadostí služby, spoločnosť Microsoft obmedzila dôvody, prečo zariadenie s iným systémom Windows nemusí byť schopné prijať overenie protokolom Kerberos po tom, ako jednotky KDC použijú aprílovú aktualizáciu a prejdú na predvolené správanie AES-SHA1, ak nie je špecifikované. Skôr než všeobecné povolenie tohto správania povolíte, odporúčame tieto zmeny overiť prostredníctvom testovania vo vašom vlastnom prostredí.

Najbežnejším miestom, kde sa s týmto problémom stretneme, sú zariadenia využívajúce klávesové skratky Kerberos. Ak sa karta Kerberos Keytab exportovala len s kľúčmi RC4, ale konto cieľovej služby má kľúče AES-SHA1 a nemá definovaný parameter msds-SupportedEncryptionTypes, existuje možnosť zlyhania overenia uvedenej služby. Pravdepodobne sa to prejaví v podobe zlyhaní overovania z cieľovej služby, nie z KDC.

Naše primárne odporúčanie je spolupracovať s dodávateľom zariadenia, ktoré nie je Windows. Vo všeobecnosti platí, že zlyhania zariadení bez Windowsu pri akceptovaní overenia protokolom Kerberos nie sú jedinečné pre aprílové zmeny a môžu byť spôsobené obmedzeniami špecifickými pre konkrétne zariadenie alebo implementáciu.

Ak sa v zariadeniach bez Windowsu po tejto zmene vyskytnú problémy s overením protokolom Kerberos a oprava zo strany dodávateľa nie je uskutočniteľná, odporúčame toto:

• V konte ovplyvnenej služby explicitne definujte msDS-SupportedEncryptionTypes tak, aby zahŕňal RC4 s kľúčmi relácie AES (0x24).
• Ak to nie je možné, ako poslednú možnosť manuálne nakonfigurujte hodnotu databázy Registry DefaultDomainSupportedEncTypes vo všetkých príslušných kľúčoch KDC tak, aby obsahovala RC4 s kľúčmi relácie AES-SHA1 (0x24). Upozorňujeme, že týmto sú všetky kontá v doméne zraniteľné s CVE-2026-20833.

Je dôležité poznamenať, že táto konfigurácia je nebezpečná, a dlhodobo odporúčame migrovať zariadenia bez systému Windows na verzie, ktoré podporujú šifrovanie žiadostí AES-SHA1 Kerberos.

späť na Udalosti auditu

Najčastejšie otázky (FAQ)

Otázka 1: Ako táto zmena ovplyvňuje domény, ktoré majú jednotky KDC tretích strán?

Táto zmena sprísnenia má vplyv iba na radiče domény Windowsu. Dôvera protokolu Kerberos a tok referencií s inými radičmi domény Windowsu alebo KDC tretích strán nie sú ovplyvnené.

Otázka 2: Ako táto zmena ovplyvňuje domény, ktoré majú iné zariadenia ako Windows Domain?

Zariadenia domén tretích strán, ktoré nie sú schopné spracovať šifrovanie AES-SHA1, by už mali byť explicitne nakonfigurované tak, aby povoľovali šifrovanie RC4. Služby, ktoré nie sú schopné spracovať žiadosti AES-SHA1, musia byť opravené alebo explicitne nakonfigurované v Active Diretorory, aby poskytovali šifrovanie RC4, ako je uvedené vyššie. Tieto zmeny dôkladne overte.

Otázka 3: Odstráni spoločnosť Microsoft možnosť konfigurácie vlastností DefaultDomainSupportedEncTypes?

Nie. Do denníka zaznamenáme udalosti upozornení na nezabezpečené konfigurácie pre DefaultDomainSupportedEncTypes. Okrem toho budeme rešpektovať všetky konfigurácie explicitne nastavené správcom.

Späť na začiatok

Zdroje informácií

• KB5020805: Ako spravovať zmeny protokolu Kerberos súvisiace s CVE-2022-37967
• KB5021131: Spravovanie zmien protokolu Kerberos súvisiacich s CVE-2022-37966
• Podporované typy šifrovania Bitové príznaky

Späť na začiatok

Zoznam zmien

Zmeniť dátum	Popis zmeny
14. apríla 2026	Aktualizovali sme dátum apríl 2026, aby odrážal skutočný dátum vydania pre "Fázu presadzovania pravidiel s manuálnym vrátením". Definovaný Kerberos KDC v prvej vete druhého odseku časti "Zhrnutie". Od: Na zmiernenie tohto rizika sa Aktualizácie Windowsu vydanými 14. apríla 2026 a neskôr zmenia predvolená hodnota DefaultDomainSupportedEncTypes alebo správcovia povolia režim presadzovania predčasne. Komu: Na zmiernenie tejto chyby aktualizácie Windowsu vydané 14. apríla 2026 a neskôr menia predvolenú hodnotu Kerberos Key Distribution Center (KDC) pre DefaultDomainSupportedEncTypes, pokiaľ správcovia nezapnú režim vynútenia skôr.
Apríla 7, 2026	Kvôli prehľadnosti bol preformulovaný druhý odsek v časti "Zhrnutie". Vložte DÔLEŽITÚ poznámku do časti Krok 2: MONITOR, aby ste zdôraznili jej dôležitosť. Vezmite prosím na vedomie DÔLEŽITÚ poznámku. Pridaný nový druhý odsek do poznámky nad sekciou Najčastejšie otázky.
Marec 16, 2026	Preformulované pre prehľadnosť "Krok 2: MONITOR" v časti "Pokyny na nasadenie". Z dôvodu prehľadnosti bola preformulovaná odpoveď na otázku "Ako sa táto zmena ovplyvňuje s doménami, ktoré nie sú zariadeniami domény Windows?" Otázka s najčastejšími otázkami. Pridali sme špeciálnu poznámku o tom, ako môžu tieto zmeny ovplyvniť služby iné ako pre Windows.
Februára 10, 2026	Pridané prepojenie na dokumentáciu k výskytom DefaultDomainSupportedEncTypes. Opravilo sa znenie druhej odrážky v časti Krok 3: Zapnúť. Od: Zavádza hodnotu databázy Registry RC4DefaultDisablementPhase na aktívne povolenie zmeny nastavením hodnoty na 2 v radičoch domény, keď udalosti auditu KDCSVC naznačujú, že je to bezpečné. Komu: Zavádza podporu pre hodnotu databázy Registry RC4DefaultDisablementPhase po tom, čo správca proaktívne povolí zmenu nastavením hodnoty na 2 v radičoch domény, keď udalosti auditu KDCSVC naznačujú, že je to bezpečné. Pod dôležitou poznámkou v časti "Prijatie opatrení" bola zmenená prvá veta odseku tak, aby približne označovala, kedy bude režim presadzovania pravidiel povolený. Od: Od apríla 2026 bude režim vynútenia povolený na všetkých radičoch domény Windowsu a zablokuje zraniteľné pripojenia z nekompatibilných zariadení. Komu: Režim vynútenia sa automaticky zapne inštaláciou aktualizácií Windowsu vydaných v apríli 2026 alebo neskôr na všetkých radičoch domény Windowsu a zablokuje zraniteľné pripojenia z nekompatibilných zariadení. Pridané znenie, ktoré spomína, že túto zmenu vykonal Windows Aktualizácie vydaný 13. januára 2026 a neskôr a CVE-2026-20833.

Späť na začiatok