KB4034879: SSL/TLS üzerinden LDAP kimlik doğrulamasını daha güvenli hale getirmek için LdapEnforceChannelBinding kayıt defteri girdisini kullanın

Uygulandığı Öğe
Windows Server 2016 Windows Server 2016 Essentials Windows Server 2016 Standard Windows 10 Windows 10, version 1511, all editions Windows 10, version 1607, all editions Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Foundation Windows Server 2008 Standard Windows Server 2008 for Itanium-Based Systems Windows Server 2008 Web Edition Windows Server 2008 Enterprise Windows Server 2008 Datacenter Windows 10, version 1703, all editions Windows Server 2022 Windows Server 2019

Özet

CVE-2017-8563 , yöneticilerin SSL/TLS üzerinden LDAP kimlik doğrulamasını daha güvenli hale getirmeye yardımcı olmak için kullanabilecekleri bir kayıt defteri ayarı sunar.

Daha Fazla Bilgi

Önemli Bu bölüm, yöntem veya görev kayıt defterini nasıl değiştireceğinizin anlatıldığı adımları içermektedir. Ancak kayıt defterinde yanlış bir değişiklik yaparsanız, ciddi sorunlar oluşabilir. Bu nedenle, adımları dikkatle izlediğinizden emin olun. Ek koruma için, değiştirmeden önce kayıt defterinizi yedekleyin Böylece bir sorun oluşursa kayıt defterini geri yükleyebilirsiniz. Kayıt defterini yedekleme ve geri yükleme hakkında daha fazla bilgi için Microsoft Bilgi Bankası'ndaki makaleyi görüntülemek üzere aşağıdaki makale numarasına tıklayın:

322756 Windows'ta kayıt defterini yedekleme ve geri yükleme

SSL\TLS üzerinden LDAP kimlik doğrulamasını daha güvenli hale getirmeye yardımcı olmak için, yöneticiler aşağıdaki kayıt defteri ayarlarını yapılandırabilir:

  • Active Directory Domain Services (AD DS) etki alanı denetleyicilerinin yolu: HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NTDS\Parameters
  • Active Directory Basit Dizin Hizmetleri (AD LDS) sunucularının yolu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<LDS örnek adı>\Parametreler
  • DWORD: LdapEnforceChannelBinding
  • DWORD değeri:0devre dışı olduğunu gösterir. Kanal bağlama doğrulaması yapılmaz. Bu, güncelleştirilmemiş tüm sunucuların davranışıdır.
  • DWORD değeri:1 desteklendiğinde etkin olduğunu gösterir. Windows'un kanal bağlama belirteçlerini (CBT) destekleyecek şekilde güncelleştirilmiş bir sürümünde çalışan tüm istemciler, sunucuya kanal bağlama bilgileri sağlamalıdır. CBT'yi destekleyecek şekilde güncelleştirilmemiş bir Windows sürümü çalıştıran istemcilerin bunu yapması gerekmez. Bu, uygulama uyumluluğuna izin veren bir ara seçenektir.
  • DWORD değeri:2her zaman etkin olduğunu gösterir. Tüm istemcilerin kanal bağlama bilgilerini sağlaması gerekir. Sunucu, bunu yapmayan istemcilerden gelen kimlik doğrulama isteklerini reddeder.

Notlar

  • Bu ayarı bir Etki Alanı Denetleyicisinde etkinleştirmeden önce, istemcilerin CVE-2017-8563'te açıklanan güvenlik güncelleştirmesini yüklemeleri gerekir. Aksi takdirde, uyumluluk sorunları ortaya çıkabilir ve daha önce çalışan SSL/TLS üzerinden LDAP kimlik doğrulama istekleri artık çalışmayabilir. Varsayılan olarak bu ayar devre dışıdır.
  • LdapEnforceChannelBindings kayıt defteri girdisi açıkça oluşturulmalıdır.
  • LDAP sunucusu, bu kayıt defteri girdisinde yapılan değişikliklere dinamik olarak yanıt verir. Bu nedenle, kayıt defteri değişikliğini uyguladıktan sonra bilgisayarı yeniden başlatmanız gerekmez.

Eski işletim sistemi sürümleriyle (Windows ServerWindows Server 2008 ve önceki sürümleri) uyumluluğu en üst düzeye çıkarmak için bu ayarı 1 değeriyle etkinleştirmenizi öneririz.

Ayarı açıkça devre dışı bırakmak için LdapEnforceChannelBinding girdisini 0 (sıfır) olarak ayarlayın.

Windows Server 2008 ve daha eski sistemler, CVE-2017-8563 yüklenmeden önce "Kimlik Doğrulaması için KB5021989 Genişletilmiş Koruma" içinde bulunan Microsoft Güvenlik Danışmanlığı 973811'nın yüklenmesini gerektirir. CVE-2017-8563'ü bir Etki Alanı denetleyicisine veya AD LDS örneğine KB5021989 olmadan yüklerseniz tüm LDAPS bağlantıları LDAP hatası 81 - LDAP_SERVER_DOWN ile başarısız olur.

Daha fazla bilgi için KB4520412 bakın.