KB5008382 – overenie jedinečnosti hlavného mena používateľa, hlavného mena služby a aliasu hlavného mena služby (CVE-2021-42282)

Jedinečnosť hlavného mena používateľa a hlavného mena služby

Táto funkcia zaručí, že názvy SPNs sú jedinečné v doménových štruktúrách, čo zabraňuje počítačom a radičom domén pridávať duplicitné SPNs. Táto funkcia už existuje vo Windows 8.1 a novších a je popísaná v jedinečnosti SPN a UPN.

Jedinečnosť aliasu SPN

Existujúci atribút AD definuje aliasy pre mnohé bežné triedy služieb ako ekvivalentný SPN HOSTITEĽA pre služby, ako sú napríklad CIFS, HTTP a RPC. Atribút AD je definovaný ako zoznam v kontexte pomenovania konfigurácie doménovej štruktúry služby Active Directory. Používateľ, ktorý nemá práva správcu, nemusí zmeniť priradenie SPN, ktorý je implicitne priradený k inému kontu pomocou tohto aliasu.

Poznámka: Toto overenie sa implementuje ako doplnok k overeniu jedinečnosti siete UPN a SPN.

Overenie jedinečnosti aliasu SPN je predvolene zapnuté. Tieto overenia môžete vypnúť úpravou 21^. znaku atribútu dSHeuristics , ktorý sa interpretuje ako séria znakov. Atribút dSHeuristics predvolene neexistuje, môžete ho však pridať pod rozlišujúci názov "CN=Directory Service,CN=systém Windows NT,CN=Services,CN=Configuration,DC=support,DC=local". Možné nastavenia a ich zodpovedajúce bitové hodnoty sú nasledovné:

• Hodnota 0 – znamená Vynútiť všetko (žiadne bity nastavené 000) Predvolené

• Hodnota 1 – znamená Zakázať overenie jedinečnosti aktivovať (množina bitových 0 – 001)

• Hodnota 2 – znamená Zakázať overenie jedinečnosti SPN (bit 1 set - 010)

• Hodnota 3 – znamená Zakázať jedinečnosť aktivovať upn a overenie jedinečnosti SPN. (bit 0 a 1 set - 011)

• Hodnota 4 – znamená Zakázať overenie jedinečnosti aliasu SPN (bit 2 set - 100)

• Hodnota 5 – znamená Zakázať overenie jedinečnosti aliasu SPN A používateľa (bit 2 a bit 0 set - 101)

• Hodnota 6 – znamená Zakázať alias SPN AND jedinečnosť SPN (bit 2 a bit 1 set - 110)

• Hodnota 7 – znamená Zakázať všetko (všetky bity sú nastavené na 111)

Príklad: Ak nemáte v doménovej štruktúre povolené žiadne iné nastavenia dSHeuristics a chcete vypnúť len overenie jedinečnosti aliasu SPN, atribút dSHeuristics by mal byť nastavený na: "000000000100000000024"

Znaky, ktoré sú nastavené v tomto prípade, sú:
10^{. znak} : Ak má atribút dSHeuristics aspoň 10 znakov
, musí byť nastavený na hodnotu 1. 20^{. znak} : Atribút dSHeuristics musí byť nastavený na hodnotu 2, ak má atribút dSHeuristics aspoň 20 znakov
. 21^. znak: Musí byť nastavený na hodnotu vo vyššie uvedenom zozname; hodnota 4 znamená Zakázať jedinečnosť aliasu SPN.

Poznámka: Ak je atribút dSHeuristics už nastavený, nezabudnite zlúčiť existujúce nastavenia do nového reťazca atribútov dSHeuristics a overiť, či sú 10., 20. a 21. znaky nastavené vyššie. Ostatné znaky, ktoré sú už nastavené, by mali zostať nezmenené.

Ďalšie informácie o konfigurácii znakov dSHeuristics nájdete v nasledujúcich dokumentoch:

• Špecifikácia atribútu dSHeuristics

• Súhrn atribútov dSHeuristics a podrobnosti o Version-Specific osí

Ďalšie informácie

Čo je hlavný názov služby?

Hlavný názov služby (SPN) je jedinečný identifikátor inštancie služby. Overovanie pomocou protokolu Kerberos používa SPNs na priradenie inštancie služby ku kontu na prihlásenie k službe. Klientska aplikácia tak môže požiadať, aby služba overená konto overená, a to aj v prípade, že klient názov konta nemá. Ďalšie podrobnosti nájdete v téme Hlavné názvy služieb.

Čo je hlavné meno používateľa?

Hlavné meno používateľa (UPN) je prihlasovacie meno používateľa v štýle e-mailu na základe internetového štandardného RFC 822. Ďalšie podrobnosti nájdete v téme Atribút User-Principal-Name.