Özet
13 Temmuz 2021 Windows güncelleştirmeleri ve sonraki Windows güncelleştirmeleri, CVE-2021-33757 için korumalar ekler.
13 Temmuz 2021 Windows güncelleştirmelerini veya sonraki Windows güncelleştirmelerini yükledikten sonra, SAM sunucusu AES şifrelemeyi destekliyorsa parola işlemleri için eski MS-SAMR protokolü kullanılırken Windows istemcilerinde Gelişmiş Şifreleme Standardı (AES) şifrelemesi tercih edilen yöntem olacaktır. AES şifrelemesi SAM sunucusu tarafından desteklenmiyorsa, eski RC4 şifrelemesine geri dönüşe izin verilir.
CVE-20201-33757'deki değişiklikler MS-SAMR protokolüne özgüdür ve diğer kimlik doğrulama protokollerinden bağımsızdır. MS-SAMR , RPC ve adlandırılmış kanallar üzerinden SMB kullanır. SMB şifrelemeyi de desteklese de varsayılan olarak etkin değildir. Varsayılan olarak, CVE-20201-33757'deki değişiklikler etkindir ve SAM katmanında ek güvenlik sağlar. Windows'un desteklenen tüm sürümlerinde 13 Temmuz 2021 Windows güncelleştirmelerine veya sonraki Windows güncelleştirmelerine dahil edilen CVE-20201-33757 korumalarını yüklemenin ötesinde ek yapılandırma değişikliği gerekmez. Windows'un desteklenmeyen sürümleri sonlandırılmalı veya desteklenen bir sürüme yükseltilmelidir.
Not: CVE-2021-33757, yalnızca MS-SAMR protokolünün belirli API'leri kullanılırken şifrelerin aktarım sırasında nasıl şifrelendiğini değiştirir ve özellikle şifrelerin beklemede nasıl depolandığını DEĞİŞTİRMEYİN. Parolaların Active Directory'de ve SAM Veritabanında (kayıt defteri) yerel olarak nasıl şifrelendiği hakkında daha fazla bilgi için bkz: Parolalara Genel Bakış.
Daha fazla bilgi
13 Temmuz 2021 güncelleştirmeleri tarafından yapılan değişiklikler
Parola değiştirme deseni
Güncellemeler, AES kullanacak yeni bir şifre değiştirme yöntemi ekleyerek protokolün şifre değiştirme modelini değiştirir.RC4 ile Eski Yöntem AES ile Yeni Yöntem SamrUnicodeChangePasswordUser2 (OpNum 55) SamrUnicodeChangePasswordUser4 (OpNum 73) MS-SAMR OpNum'ların tam listesi için İleti İşleme Olayları ve Sıralama Kuralları'na bakın.
Parola ayarlama deseni
Güncelleştirmeler, SamrSetInformationUser2 (Opnum 58) yöntemine iki yeni Kullanıcı Bilgi Sınıfı ekleyerek protokolün parola kümesi desenini değiştirir. Parola bilgilerini aşağıdaki gibi ayarlayabilirsiniz.RC4 ile Eski Yöntem AES ile Yeni Yöntem SamrSetInformationUser2 (Opnum 58), RC4 ile şifrelenmiş bir kullanıcı parolasını tutan UserInternal4InformationNew ile birlikte. SamrSetInformationUser2 (Opnum 58), AES ile şifrelenmiş bir kullanıcı parolasını tutan UserInternal8Information ile birlikte. SamrSetInformationUser2 (Opnum 58), RC4 ve diğer tüm kullanıcı öznitelikleri ile şifrelenmiş bir kullanıcı parolasını tutan UserInternal5InformationNew ile birlikte. SamrSetInformationUser2 (Opnum 58), AES ve diğer tüm kullanıcı öznitelikleri ile şifrelenmiş bir parolaya sahip olan UserInternal7Information ile birlikte.
Yeni davranış nasıl çalışır?
Var olan SamrConnect5 yöntemi genellikle SAM istemcisi ve sunucusu arasında bir bağlantı kurmak için kullanılır.
Güncellenmiş bir sunucu artık SAMPR_REVISION_INFO_V1'de tanımlandığı gibi SamrConnect5() yanıtında yeni bir bit döndürecektir.
| Değer | Anlamı |
|---|---|
| 0x00000010 | İstemci tarafından alındığında, bu değer ayarlandığında, istemcinin kablo üzerinden gönderildiğinde parola arabelleklerini şifrelemek için SAMPR_ENCRYPTED_PASSWORD_AES yapılı AES Şifrelemesi kullanması gerektiğini gösterir. Bkz. AES Şifre Kullanımı (bölüm 3.2.2.4) ve SAMPR_ENCRYPTED_PASSWORD_AES (bölüm 2.2.6.32). |
Güncellenen sunucu AES'i destekliyorsa, istemci parola işlemleri için yeni yöntemler ve yeni bilgi sınıfları kullanacaktır. Sunucu bu bayrağı döndürmezse veya istemci güncellenmezse, istemci RC4 şifrelemesi ile önceki yöntemleri kullanmaya geri döner.
Salt Okunur Etki Alanı Denetleyicisi nasıl etkilenir?
Parola Ayarlama işlemleri, yazılabilir bir etki alanı denetleyicisi (RWDC) gerektirir. Parola değişiklikleri Salt Okunur Etki Alanı Denetleyicisi (RODC) tarafından RWDC'ye iletilir. AES'in kullanılabilmesi için tüm cihazların güncellenmesi gerekir. Örneğin:
- İstemci, RODC veya RWDC güncellenmezse RC4 şifrelemesi kullanılır.
- İstemci, RODC ve RWDC güncelleştirilirse AES şifrelemesi kullanılır.
Olay günlüğü
13 Temmuz 2021 güncelleştirmeleri, güncelleştirilmeyen cihazların belirlenmesine yardımcı olmak için sistem günlüğüne dört yeni olay ekler ve güvenliği artırmaya yardımcı olur.
Yapılandırma durumu Olay Kimliği 16982 veya 16983, başlangıçta veya kayıt defteri yapılandırması değiştiğinde oturum açılır.
Olay Kimliği 16982
Olay günlüğü Sistem Olay kaynağı Directory-Services-SAM Olay Kimliği 16982 Seviye Bilgi Olay iletisi metni Güvenlik hesabı yöneticisi artık eski parola değişikliğini çağıran veya RPC yöntemlerini ayarlayan uzak istemciler için ayrıntılı olayları günlüğe kaydediyor. Bu ayar çok sayıda iletiye neden olabilir ve sorunları tanılamak amacıyla yalnızca kısa bir süre için kullanılmalıdır. Olay Kimliği 16983
Olay günlüğü Sistem Olay kaynağı Directory-Services-SAM Olay Kimliği 16983 Seviye Bilgi Olay iletisi metni Güvenlik hesabı yöneticisi artık eski parola değişikliğini çağıran veya RPC yöntemlerini ayarlayan uzak istemciler için düzenli olarak özet olayları günlüğe kaydediyor. 13 Temmuz 2021 güncelleştirmesini uyguladıktan sonra, her 60 dakikada bir Sistem olay günlüğüne bir Özet Olay 16984 kaydedilir.
Olay Kimliği 16984
Olay günlüğü Sistem Olay kaynağı Directory-Services-SAM Olay Kimliği 16984 Seviye Bilgi Olay iletisi metni Güvenlik hesabı yöneticisi, son 60 dakika içinde %x eski parola değişikliği algıladı veya RPC yöntemi çağrılarını ayarladı. Ayrıntılı olay günlüğünü yapılandırdıktan sonra, hesap parolasını değiştirmek veya ayarlamak için eski bir RPC yöntemi her kullanıldığında Sistem olay günlüğüne Olay Kimliği 16985 kaydedilir.
Olay Kimliği 16985
Olay günlüğü Sistem Olay kaynağı Directory-Services-SAM Olay Kimliği 16985 Seviye Bilgi Olay iletisi metni Güvenlik hesabı yöneticisi, bir ağ istemcisinden eski bir değişikliğin veya ayarlanmış RPC yönteminin kullanıldığını algıladı. Bu yöntemin en son ve daha güvenli sürümünü kullanmak için istemci işletim sistemini veya uygulamayı yükseltmeyi göz önünde bulundurun.
Ayrıntılar:
RPC Yöntemi: %1
İstemci Ağ Adresi: %2
İstemci SID'si: %3
Kullanıcı adı: %4Ayrıntılı Olay Kimliği 16985'i günlüğe kaydetmek için sunucuda veya etki alanı denetleyicisinde aşağıdaki kayıt defteri değerini değiştirin.
Yol HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM Tür REG_DWORD Value name AuditLegacyPasswordRpcMethods Value data 1 = Ayrıntılı günlük etkin
0 veya mevcut değil = Ayrıntılı günlük devre dışı. Yalnızca özet olaylar. (Varsayılan)
Parola değişikliği için PBKDF2 yinelemelerini yapılandırma
SamrUnicodeChangePasswordUser4'te (Opnum 73) açıklandığı gibi, yeni SamrUnicodeChangePasswordUser4 yöntemini kullandığınızda, istemci ve sunucu düz metin eski paroladan bir şifreleme ve şifre çözme anahtarı türetmek için PBKDF2 Algoritmasını kullanacaktır. Bunun nedeni, eski parolanın hem sunucu hem de istemci tarafından bilinen tek ortak gizli dizi olmasıdır.
PBKDF2 hakkında daha fazla bilgi için bkz. BCryptDeriveKeyPBKDF2 işlevi (bcrypt.h).
Performans ve güvenlik nedenleriyle bir değişiklik yapmanız gerekiyorsa, istemcide aşağıdaki kayıt defteri değerini ayarlayarak istemcinin parola değişikliği için kullandığı PBKDF2 yinelemelerinin sayısını ayarlayabilirsiniz.
Not
PBKDF2 yinelemelerinin sayısının azaltılması güvenliği azaltacaktır. Bu sayının varsayılandan daha düşük olmasını önermiyoruz. Ancak, mümkün olan en yüksek sayıda PBKDF2 yinelemesi kullanmanızı öneririz.
| Yol | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM |
|---|---|
| Tür | REG_DWORD |
| Value name | PBKDF2Iterations |
| Value data | En az 5.000 ila en fazla 1.000.000 |
| Varsayılan değer | 10.000 |
Not
PBKDF2, parola belirleme işlemleri için kullanılmaz. Parola ayarlama işlemleri için SMB oturum anahtarı, istemci ve sunucu arasında paylaşılan gizli anahtardır ve şifreleme anahtarlarını türetmek için temel olarak kullanılır.
Daha fazla bilgi için SMB Oturum Anahtarı Edinme bölümüne bakın.
Sık Sorulan Sorular (SSS)
AES'den RC4'e düşürmeyi tetikleyen senaryolar nelerdir?
Sunucu veya istemci AES'i desteklemediğinde eski sürüme düşürme gerçekleşir.
RC4 şifrelemesi veya AES şifrelemesi üzerinde anlaşmaya varılıp varılmadığını nasıl anlarım?
Güncelleştirilmiş sunucular, RC4'e sahip eski yöntemler kullanıldığında olayları günlüğe kaydeder.
Sunucuda AES şifrelemesini zorunlu tutabilir miyim ve gelecekteki Windows güncelleştirmeleri AES kullanımını program aracılığıyla zorunlu kılar mı?
Şu anda kullanılabilir zorlama modu yoktur, ancak gelecekte olabilir. Bir tarihimiz yok.
Üçüncü taraf istemciler, sunucu tarafından desteklendiğinde AES anlaşması yapmak için CVE-2021-33757 korumalarını destekliyor mu? Bu soruyu ele almak için Microsoft Desteği veya üçüncü taraf destek ekibiyle iletişime geçmeli miyim?
Üçüncü taraf bir cihaz SAMR protokolünü kullanmıyorsa, bu önemli değildir. MS-SAMR protokolünü uygulayan üçüncü taraf satıcılar bunu uygulamayı seçebilir. Tüm sorularınız için üçüncü taraf satıcıyla iletişime geçin.
Ek yapılandırma değişiklikleri yapılması gerekiyor mu?
Ek değişiklik gerekmez.
Bu protokol ne kullanır?
Bu protokol eskidir ve kullanımının çok düşük olduğunu tahmin ediyoruz. Eski uygulamalar bu API'leri kullanabilir. Ayrıca, AD Kullanıcıları ve Bilgisayarlar MMC gibi bazı Active Directory araçları SAMR kullanır.
Kerberos protokolünü veya diğer protokolleri kullanan parola değişiklikleri etkilenir mi?
Hayır. Yalnızca bu belirli SAMR API'lerini kullanan parola değişiklikleri etkilenir.
Etki Alanı Denetleyicisinin performansı etkilenebilir mi?
Evet. PBKDF2, RC4'ten daha pahalıdır. SamrUnicodeChangePasswordUser4 API'sini çağıran etki alanı denetleyicisinde aynı anda gerçekleşen birçok parola değişikliği varsa, LSASS'nin CPU yükü etkilenebilir. Gerekirse istemcilerde PBKDF2 yinelemelerini ayarlayabilirsiniz, ancak güvenliği azaltacağı için varsayılandan düşürmenizi önermiyoruz.
Başvurular
AES-CBC ve HMAC-SHA ile Kimliği Doğrulanmış Şifreleme
Üçüncü taraf bilgileri hakkında bildirim
Teknik destek bulmanıza yardımcı olmak için üçüncü tarafların iletişim bilgilerini sağlıyoruz. Bu kişi bilgileri bildirilmeksizin değiştirilebilir. Bu üçüncü taraf iletişim bilgilerinin doğruluğunu garanti etmiyoruz.