KB5021989: การป้องกันเพิ่มเติมสําหรับการรับรองความถูกต้อง

บทนำ

Microsoftจะประกาศความพร้อมใช้งานของฟีเจอร์ใหม่ ซึ่งก็คือการป้องกันเพิ่มเติมสําหรับการรับรองความถูกต้อง (EPA) บนแพลตฟอร์ม Windows คุณลักษณะนี้ปรับปรุงการป้องกันและการจัดการข้อมูลประจําตัวเมื่อรับรองความถูกต้องของการเชื่อมต่อเครือข่ายโดยใช้การรับรองความถูกต้องของ Windows แบบรวม (IWA)

การอัปเดตเองไม่ได้ให้การป้องกันการโจมตีที่เฉพาะเจาะจงโดยตรง เช่น การส่งต่อข้อมูลประจําตัว แต่อนุญาตให้แอปพลิเคชันเลือกรับ EPA คําแนะนํานี้จะแนะนํานักพัฒนาและผู้ดูแลระบบเกี่ยวกับฟังก์ชันการทํางานใหม่นี้ และวิธีการปรับใช้เพื่อช่วยปกป้องข้อมูลประจําตัวในการรับรองความถูกต้อง

ดูข้อมูลเพิ่มเติมได้ที่ 973811คําแนะนําด้านความปลอดภัยMicrosoft

ข้อมูลเพิ่มเติม

การอัปเดตความปลอดภัยนี้จะปรับเปลี่ยน Security Support Provider Interface (SSPI) เพื่อปรับปรุงวิธีการทํางานของการรับรองความถูกต้องของ Windows เพื่อให้ข้อมูลประจําตัวไม่ได้รับการส่งต่ออย่างง่ายดายเมื่อเปิดใช้งาน IWA

เมื่อเปิดใช้งาน EPA คําขอการรับรองความถูกต้องจะผูกกับทั้งชื่อหลักบริการ (SPN) ของเซิร์ฟเวอร์ที่ไคลเอ็นต์พยายามเชื่อมต่อและไปยังช่องทาง Transport Layer Security (TLS) ภายนอกที่มีการรับรองความถูกต้อง IWA เกิดขึ้น

การอัปเดตเพิ่มรายการรีจิสทรีใหม่เพื่อจัดการการป้องกันเพิ่มเติม:

• ตั้งค่ารีจิสทรี SuppressExtendedProtection

  รีจิสทรีคีย์	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA
  ค่า	SuppressExtendedProtection
  ชนิด	Reg_dword
  ข้อมูล	0 เปิดใช้งานเทคโนโลยีการป้องกัน 1 การป้องกันเพิ่มเติมถูกปิดใช้งาน 3 การป้องกันเพิ่มเติมถูกปิดใช้งาน และการผูกแชนเนลที่ส่งโดย Kerberos จะถูกปิดใช้งานด้วย แม้ว่าแอปพลิเคชันจะจัดหาให้ ค่าเริ่มต้น: 0x0 หมายเหตุ ปัญหาที่เกิดขึ้นเมื่อเปิดใช้งาน EPA ตามค่าเริ่มต้นมีอธิบายไว้ในหัวข้อการรับรองความถูกต้องล้มเหลวจากเซิร์ฟเวอร์ NTLM ที่ไม่ใช่ของ Windows หรือ Kerberos บนเว็บไซต์Microsoft

• ตั้งค่ารีจิสทรี LmCompatibilityLevel
  
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel ถึง 3 นี่คือคีย์ที่มีอยู่ซึ่งเปิดใช้งานการรับรองความถูกต้อง NTLMv2 EPA ใช้ได้กับโพรโทคอลการรับรองความถูกต้อง NTLMv2, Kerberos, digest และ negotiation เท่านั้น และไม่สามารถใช้กับ NTLMv1 ได้

หมายเหตุ คุณต้องเริ่มการทํางานของคอมพิวเตอร์ใหม่หลังจากที่คุณตั้งค่ารีจิสทรี SuppressExtendedProtection และ ค่ารีจิสทรี LmCompatibilityLevel บนคอมพิวเตอร์ Windows