Opomba
Pomembno Nekatere različice sistema Microsoft Windows so dosegle konec podpore. Upoštevajte, da bodo nekatere različice sistema Windows morda podprte tudi po datumu konca najnovejšega operacijskega sistema, ko bodo na voljo razširjene varnostne posodobitve (ESU). Oglejte si pogosta vprašanja o življenjskem ciklu – razširjene varnostne posodobitve za seznam izdelkov, ki ponujajo ESU-je.
Dnevnik sprememb
| Spremenite datum | Opis spremembe |
|---|---|
| 1. avgusta 2024 |
|
| 5. avgusta, 2024 |
|
| 6 avgusta, 2024 |
|
Vsebina
- Povzetek
- Vzemite stvari v svoje roke
- Dogodki, dodani s to posodobitvijo
- Konfiguracije
- Pogosta vprašanja
- Sklici
Povzetek
Posodobitve sistema Windows z dne 9. julija 2024 ali pozneje odpravljajo varnostno ranljivost v protokolu RADIUS (Remote Authentication Dial-In User Service), povezano s težavami s prestrezanjem MD5 . Zaradi šibkega preverjanja integritete v MD5 lahko napadalec brkljajo po paketih in tako pridobijo nepooblaščen dostop. Zaradi ranljivosti MD5 je promet RADIUS prek interneta, ki temelji na protokolu datagrama uporabnika (UDP), nezaščiten za ponarejanje ali spreminjanje paketov med prenosom.
Če želite več informacij o tej ranljivosti, glejte CVE-2024-3596 in informativni dokument RADIUS AND M5 COLLISION ATTACKS.
OPOMBA Ta ranljivost zahteva fizičen dostop do omrežja RADIUS in strežnika s pravilniki omrežja (NPS). Zato stranke, ki imajo zavarovana omrežja RADIUS, niso ranljive. Poleg tega ranljivost ne velja, kadar komunikacija RADIUS poteka prek povezave VPN.
Vzemite stvari v svoje roke
Če želite zaščititi svoje okolje, priporočamo, da omogočite naslednje konfiguracije. Če želite več informacij, glejte razdelek »Konfiguracije «.
|
|---|
Dogodki, dodani s to posodobitvijo
Če želite več informacij, glejte razdelek »Konfiguracije «.
Opomba
Opomba Ti ID-ji dogodkov so dodani v strežnik NPS s posodobitvami sistema Windows iz 9. julija 2024 ali pozneje.
ID dogodka: 4418
Paket Access-Request je bil opuščen, ker je vseboval atribut Proxy-State , ni pa mu manjkal atribut Message-Authenticator . Odjemalca RADIUS lahko spremenite tako, da vključuje atribut preverjevalnika pristnosti sporočil . Lahko pa dodate izjemo za odjemalca RADIUS s konfiguracijo limitProxyState .
| Dnevnik dogodkov | Sistem |
|---|---|
| Vrsta dogodka | Napaka |
| Vir dogodka | NPS |
| ID dogodka | 4418 |
| Besedilo dogodka | Iz naslova/imena> odjemalca< RADIUS je bilo poslano sporočilo Access-Request, ki je vsebovalo atribut Proxy-State, vendar ni vključevalo atributa Message-Authenticator. Posledično je bila zahteva opuščena. Atribut Message-Authenticator je obvezen iz varnostnih razlogov. Če želite izvedeti več, glejte https://support.microsoft.com/help/5040268. |
ID dogodka: 4419
To je dogodek nadzora za pakete z zahtevo za dostop brez atributa Message-Authenticator v prisotnosti stanja proxyja. Odjemalca RADIUS lahko spremenite tako, da vključuje atribut preverjevalnika pristnosti sporočil . Paket RADIUS bo opuščen, ko je omogočena konfiguracija »limitproxystate «.
| Dnevnik dogodkov | Sistem |
|---|---|
| Vrsta dogodka | Opozorilo |
| Vir dogodka | NPS |
| ID dogodka | 4419 |
| Besedilo dogodka | Iz naslova/imena> odjemalca< RADIUS je bilo poslano sporočilo Access-Request, ki je vsebovalo atribut Proxy-State, vendar ni vključevalo atributa Message-Authenticator. Zahteva je trenutno dovoljena, saj je parametr limitProxyState konfiguriran v načinu nadzora. Če želite izvedeti več, glejte https://support.microsoft.com/help/5040268. |
ID dogodka: 4420
To je dogodek nadzora za pakete odzivov RADIUS, prejete brez atributa Message-Authenticator v proxyju. Priporočamo, da spremenite navedeni strežnik RADIUS za atribut preverjevalnika pristnosti sporočil. Paket RADIUS bo opuščen, ko je omogočena konfiguracija requiremsgauth .
| Dnevnik dogodkov | Sistem |
|---|---|
| Vrsta dogodka | Opozorilo |
| Vir dogodka | NPS |
| ID dogodka | 4420 |
| Besedilo dogodka | Proxy RADIUS je prejel odgovor IP/imena> strežnika< z manjkajočim atributom Message-Authenticator. Odziv je trenutno dovoljen, saj je zahtevaMsgAuth konfiguriran v načinu nadzora. Če želite izvedeti več, glejte https://support.microsoft.com/help/5040268. |
ID dogodka: 4421
Ta dogodek je zabeležen med zagonom storitve, ko priporočene nastavitve niso konfigurirane. Če omrežje RADIUS ni varno, priporočamo, da omogočite nastavitve. Pri varnih omrežjih lahko te dogodke prezrete.
| Dnevnik dogodkov | Sistem |
|---|---|
| Vrsta dogodka | Opozorilo |
| Vir dogodka | NPS |
| ID dogodka | 4421 |
| Besedilo dogodka | Konfiguracija RequireMsgAuth in/ali limitProxyState je v <načinu onemogočanja/nadzora> . Te nastavitve je treba zaradi varnosti konfigurirati v načinu omogočanja. Če želite izvedeti več, glejte https://support.microsoft.com/help/5040268. |
Konfiguracije
Konfigurirajte pošiljanje atributa Message-Authenticator v vseh paketih z zahtevami za dostop v strežniku
S to konfiguracijo omogočite posredniškemu strežniku NPS, da začne pošiljati atribut preverjevalnika pristnosti sporočil v vseh paketih z zahtevami za dostop . Če želite omogočiti to konfiguracijo, uporabite enega od teh načinov.
1. način: Uporabite konzolo MMC (MMC (Microsoft Management Console)) s strežnikom NPS
Če želite uporabiti NPS MMC, sledite tem korakom:
- Odprite uporabniški vmesnik (UI) NPS v strežniku.
- Odprite skupine oddaljenega strežnika Radius.
- Izberite Radius Server.
- Pojdite na stran Preverjanje pristnosti/računovodstvo.
- Kliknite, da potrdite polje Zahteva mora vsebovati Message-Authenticator atribut.
2. način: Uporabite ukaz netsh
Če želite uporabiti netsh, zaženite ta ukaz:
Opomba
netsh nps set remoteserver remoteservergroup = <server group name> address = <server address> requireauthattrib = yes
Če želite več informacij, glejte Ukazi skupine za oddaljeni strežnik RADIUS.
konfigurirati preverjanje atributa preverjevalnika pristnosti sporočil v vseh paketih z zahtevo za dostop v odjemalcu.
Ta konfiguracija zahteva atribut Message-Authenticator v vseh paketih z zahtevo za dostop in opusti paket, če ga ni.
1. način: Uporabite konzolo MMC (MMC (Microsoft Management Console)) s strežnikom NPS
Če želite uporabiti NPS MMC, sledite tem korakom:
- Odprite uporabniški vmesnik (UI) NPS v strežniku.
- Odprite odjemalce Radius.
- Izberite odjemalca Radius.
- Odprite dodatne nastavitve.
- Kliknite, da potrdite polje Zahteva za dostop Sporočila morajo vsebovati atribut preverjevalnika pristnosti sporočila .
Če želite več informacij, glejte Konfiguracija odjemalcev RADIUS.
2. način: Uporabite ukaz netsh
Če želite uporabiti netsh, zaženite ta ukaz:
Opomba
netsh nps set client name = <client name> requireauthattrib = yes
Če želite več informacij, glejte Ukazi skupine za oddaljeni strežnik RADIUS.
Konfiguracija »limitproxystate« za vse odjemalce
S to konfiguracijo lahko strežnik NPS opusti morebitne ranljive pakete zahtev za dostop, ki vsebujejo atribut stanja proxyja, vendar ne vključujejo atributa za preverjanje pristnosti sporočil. Ta konfiguracija podpira tri načine:
- Nadzor
- Omogoči
- Onemogoči
V načinu nadzora je opozorilni dogodek (ID dogodka: 4419) zabeležen, vendar je zahteva še vedno obdelana. Uporabite ta način za prepoznavanje neskladnih entitet, ki pošiljajo zahteve.
Z ukazom netsh lahko konfigurirate, omogočite in po potrebi dodate izjemo.
Če želite konfigurirati odjemalce v načinu nadzora , zaženite ta ukaz:
Opomba
netsh nps set limitproxystate all = "nadzor"
Če želite odjemalce konfigurirati v načinu omogočanja , zaženite ta ukaz:
Opomba
netsh nps set limitproxystate all = "enable"
Če želite dodati izjemo za izključitev odjemalca iz preverjanja veljavnosti limitProxystate , zaženite ta ukaz:
Opomba
netsh nps set limitproxystate name = <ime> odjemalca exception = "Yes"
Konfiguracija zahteve za oddaljene strežnike
Ta konfiguracija omogoča strežniku NPS Proxy, da opusti morebitno ranljiva sporočila brez atributa Message-Authenticator . Ta konfiguracija podpira tri načine:
- Nadzor
- Omogoči
- Onemogoči
V načinu nadzora je opozorilni dogodek (ID dogodka: 4420) zabeležen, vendar je zahteva še vedno obdelana. Uporabite ta način za prepoznavanje neskladnih entitet, ki pošiljajo odgovore.
Z ukazom netsh lahko konfigurirate, omogočite in po potrebi dodate izjemo.
Če želite strežnike konfigurirati v načinu nadzora , zaženite ta ukaz:
Opomba
netsh nps setrequiremsgauthall = "audit"Če želite omogočiti konfiguracije za vse strežnike, zaženite ta ukaz:
Opomba
netsh nps set requiremsgauth all
= "enable"Če želite dodati izjemo za izključitev strežnika iz preverjanja veljavnosti requireauthmsg , zaženite ta ukaz:
Opomba
netsh nps set requiremsgauth remoteservergroup = <ime skupine> oddaljenega strežnika address = <server address> exception = "yes"
Pogosta vprašanja
Kaj je treba storiti, če so po omogočanju konfiguracije opazite napake zahteve VPN zaradi izpuščanja sporočila?
Preverite, ali so dogodki modula NPS v sorodnih dogodkih. Priporočamo vam, da dodate izjeme ali prilagoditve konfiguracije za zadevne odjemalce/strežnike.
Ali so potrebne kakršne koli spremembe konfiguracije ali kakršna koli dejanja, če je omrežje RADIUS varno?
Ne, konfiguracije, opisane v tem članku, so priporočene za nezavarovana omrežja.
Sklici
Opis standardne terminologije, ki se uporablja za opis posodobitev Microsoftove programske opreme
Zavrnitev odgovornosti glede informacij tretjih oseb
Izdelke neodvisnih proizvajalcev, opisane v tem članku, so izdelala od Microsofta neodvisna podjetja. Ne dajemo nobenih jamstev, implicitnih ali drugačnih, o učinkovitosti delovanju ali zanesljivosti teh izdelkov.
Zagotavljamo podatke za stik drugih ponudnikov za pomoč pri iskanju tehnične podpore. Ti podatki za stik se lahko spremenijo brez obvestila. Ne jamčimo za točnost teh podatkov za stik drugih ponudnikov.