KB5008382 – overenie jedinečnosti hlavného mena používateľa, hlavného názvu služby a aliasu hlavného názvu služby (CVE-2021-42282)

Hlavné meno používateľa a jedinečnosť hlavného názvu služby

Táto funkcia zaručuje, že hlavné názvy služby sú jedinečné v doménovej štruktúre, čo zabraňuje počítačom a radičom domény pridávať duplicitné hlavné názvy služby. Táto funkcia už existuje v súbore Windows 8.1 a novších verziách a je popísaná v jedinečnosti hlavného názvu služby a hlavného názvu používateľa.

Jedinečnosť aliasu SPN

Existujúci atribút AD definuje aliasy pre mnohé bežné triedy služieb ekvivalentného hlavného názvu služby HOST pre služby ako CIFS, HTTP a RPC. Atribút AD je definovaný ako zoznam v kontexte pomenovania konfigurácie doménovej štruktúry služby Active Directory. Používateľ, ktorý nemá práva správcu, nemusí zmeniť priradenie hlavného názvu služby, ktorý je implicitne priradený k inému kontu pomocou tohto aliasu.

Poznámka Toto overenie sa implementuje okrem overenia jedinečnosti hlavného názvu používateľa a hlavného názvu služby.

Overenie jedinečnosti aliasu SPN je predvolene zapnuté. Tieto overenia môžete vypnúť úpravou^21-st znaku atribútu dSHeuristics , ktorý sa interpretuje ako rad znakov. Atribút dSHeuristics predvolene neexistuje, ale môžete ho pridať pod rozlišujúci názov "CN=Directory Service,CN=systém Windows NT,CN=Services,CN=Configuration,DC=support,DC=local". Možné nastavenia a príslušné bitové hodnoty sú nasledovné:

• Hodnota 0 – znamená Vynútiť všetko (bez bitov nastavených na hodnotu 000) Predvolená

• Hodnota 1 – znamená zakázať overenie jedinečnosti hlavného názvu používateľa (množina bitov 0 – 001)

• Hodnota 2 – znamená vypnutie overovania jedinečnosti hlavného názvu služby (bit 1 set – 010)

• Hodnota 3 – znamená vypnutie jedinečnosti hlavného názvu používateľa a overenie jedinečnosti hlavného názvu služby. (bit 0 a 1 set - 011)

• Hodnota 4 – znamená vypnutie overenia jedinečnosti aliasu SPN (množina bitov 2 – 100)

• Hodnota 5 – znamená vypnutie aliasu SPN a overenia jedinečnosti hlavného mena používateľa (bit 2 a bit 0 – 101)

• Hodnota 6 – znamená vypnutie aliasu SPN a jedinečnosti SPN (bit 2 a bit 1 set - 110)

• Hodnota 7 – znamená Vypnúť všetky (všetky bity nastavené na 111)

Príklad: Ak nemáte v doménovej štruktúre povolené žiadne ďalšie nastavenia dSHeuristics a chcete zakázať iba overenie jedinečnosti aliasu SPN, atribút dSHeuristics by mal byť nastavený na hodnotu: "000000000100000000024"

Znaky, ktoré sú nastavené v tomto prípade sú:
10^th char: Musí byť nastavená na 1, ak dSHeuristics atribút je aspoň 10 znakov
20^th char: Musí byť nastavená na 2, ak dSHeuristics atribút je aspoň 20 znakov
21^st char: Musí byť nastavená na hodnotu v zozname vyššie; hodnota 4 znamená zakázať jedinečnosť aliasu SPN.

Poznámka Ak je atribút dSHeuristics už nastavený, zlučte existujúce nastavenia do nového reťazca atribútu dSHeuristics a potvrďte, že 10., 20. a 21. znak sú nastavené podľa vyššie uvedeného postupu. Ostatné znaky, ktoré sú už nastavené, by mali zostať nezmenené.

Ďalšie informácie o konfigurácii znakov dSHeuristics nájdete v nasledujúcich dokumentoch:

• Špecifikácia atribútu dSHeuristics

• dSHeuristics Attribute Summary and OS Version-Specific Details

Ďalšie informácie

Čo je hlavný názov služby?

Hlavný názov služby (SPN) je jedinečný identifikátor inštancie služby. Overovanie kerberos používa hlavné názvy služby na priradenie inštancie služby k prihlasovaciemu kontu služby. Klientska aplikácia tak môže požiadať o overenie konta aj v prípade, že klient nemá názov konta. Ďalšie podrobnosti nájdete v hlavných názvoch služby .

Čo je hlavné meno používateľa?

Hlavné meno používateľa (UPN) je prihlasovacie meno používateľa v štýle e-mailu na základe internetového štandardu RFC 822. Ďalšie podrobnosti nájdete v atribúte User-Principal-Name.