KB5004605: Güncelleştirme, PIE-2021-33757 için MS-SAMR protokolüne AES şifreleme korumaları ekler

• Parola değiştirme deseni

  Güncelleştirmeler, AES'nin kullanımına uygun yeni bir parola değiştirme yöntemi ekleyerek protokolün parola değişim desenini değiştirir.

  RC4 ile Eski Yöntem	AES ile Yeni Yöntem
  SamrUnicodeChangePasswordUser2 (OpNum 55)	SamrUnicodeChangePasswordUser4 (OpNum 73)

  MS-SAMR OpNums'un tam listesi için bkz. İleti İşleme Olayları ve Kuralları Sequencing.

• Parola kümesi deseni

  Güncelleştirmeler, SamrSetInformationUser2(Opnum 58) yöntemine iki yeni Kullanıcı Bilgisi Sınıfı ekleyerek protokolün parola kümesi desenini değiştirir. Parola bilgilerini aşağıdaki gibi kurabilirsiniz.

  RC4 ile Eski Yöntem	AES ile Yeni Yöntem
  SamrSetInformationUser2 (Opnum 58), RC4 ile şifrelenmiş bir kullanıcı parolası bulunduran UserInternal4InformationNew ile birlikte.	SamrSetInformationUser2 (Opnum 58), AES ile şifrelenmiş bir kullanıcı parolası bulunduran UserInternal8Information ile birlikte.
  SamrSetInformationUser2 (Opnum 58), RC4 ve diğer tüm kullanıcı öznitelikleriyle şifrelenmiş bir kullanıcı parolası bulunduran UserInternal5InformationNew ile birlikte.	SamrSetInformationUser2 (Opnum 58), AES'ye ve diğer tüm kullanıcı özniteliklerine sahip şifreli bir parolaya sahip UserInternal7Information ile birlikte.

Var olan SamrConnect5 yöntemi normalde SAM istemcisiyle sunucusu arasında bağlantı kurmak için kullanılır.

Güncelleştirilmiş bir sunucu şimdi, kimlik bilgisinde tanımlandığı gibi SamrConnect5() yanıtına yeni bir SAMPR_REVISION_INFO_V1. 

Değer	Anlamı
0x00000010	İstemci tarafından alındı bilgisi geldiğinde, bu değer ayarlanırken istemcinin kablo üzerinden gönderilen parola arabelleğerlerini şifrelemek için SAMPR_ENCRYPTED_PASSWORD_AES yapısıyla AES Şifrelemesi kullanması gerektiğini belirtir. Bkz. AES Şifreleme Kullanımı (bölüm 3.2.2.4) SAMPR_ENCRYPTED_PASSWORD_AES (bölüm 2.2.6.32).

Güncelleştirilmiş sunucu AES'i destekliyorsa, istemci parola işlemleri için yeni yöntemler ve yeni bilgi sınıfları kullanır. Sunucu bu bayrağı geri getirmüyorsa veya istemci güncelleştirilmezse, istemci RC4 şifrelemesi ile önceki yöntemleri kullanmaya geri döner.

Parola Kümesi işlemleri yazılabilir bir etki alanı denetleyicisi (RWDC) gerektirir. Parola değişiklikleri, Salt Okunur Etki Alanı Denetleyicisi (DC) tarafından bir RWDC'ye iletmektedir. AES'nin kullan olması için tüm cihazların güncelleştirilmiş olması gerekir. Örneğin:

• İstemci, DESMİ veya RWDC güncelleştirilmezse RC4 şifrelemesi kullanılır.

• İstemci, AYRıCALIC ve RWDC güncelleştirildiğinde AES şifrelemesi kullanılır.

13 Temmuz 2021 güncelleştirmeleri, güncelleştirilmiş cihazların belirlenmesine ve güvenliğin iyileştirilmesine yardımcı olmak için sistem günlüğüne dört yeni olay ekler.

• Yapılandırma durumu Olay Kimliği 16982 veya 16983, başlatma sırasında veya bir kayıt defteri yapılandırma değişikliği üzerine oturum açmış.
  
  Olay Kimliği 16982

  Olay günlüğü	Sistem
  Olay kaynağı	Directory-Services-SAM
  Olay Kimliği	16982
  Düzey	Bilgi
  Olay iletisi metni	Güvenlik hesabı yöneticisi artık eski parola değişikliğini çağıran veya RPC yöntemlerini ayaran uzak istemciler için ayrıntılı olayları günlüğe kaydetmeye başladı. Bu ayar çok fazla sayıda iletiye neden olabilir ve sorunları tanılamak için yalnızca kısa bir süre boyunca kullanılmalıdır.

  
  Olay Kimliği 16983

  Olay günlüğü	Sistem
  Olay kaynağı	Directory-Services-SAM
  Olay Kimliği	16983
  Düzey	Bilgi
  Olay iletisi metni	Güvenlik hesabı yöneticisi artık eski parola değişikliğini çağıran veya RPC yöntemlerini çağıran uzak istemciler için düzenli aralıklarla özet olayları günlüğe kaydetmeye başladı.

• 13 Temmuz 2021 güncelleştirmesini uygulamaya başladıktan sonra, her 60 dakikada bir System olay günlüğüne bir Özet Olayı 16984 günlüğe kaydedilir.
  
  Olay Kimliği 16984

  Olay günlüğü	Sistem
  Olay kaynağı	Directory-Services-SAM
  Olay Kimliği	16984
  Düzey	Bilgi
  Olay iletisi metni	Güvenlik hesap yöneticisi son 60 dakika içinde %x'in eski parola değişikliğini algıladı veya RPC yöntemi aramaları ayarladı.

• Ayrıntılı olay günlüğünü yapılandırdikten sonra, hesap parolasını değiştirmek veya ayarlamak için eski bir RPC yöntemi her kullan etkinliğinde System olay günlüğüne Olay Kimliği 16985 günlüğe kaydedilir.
  
  Olay Kimliği 16985

  Olay günlüğü	Sistem
  Olay kaynağı	Directory-Services-SAM
  Olay Kimliği	16985
  Düzey	Bilgi
  Olay iletisi metni	Güvenlik hesabı yöneticisi, ağ istemcisinde eski bir değişikliğin kullanımını algıladı veya RPC yöntemini ayarladı. Bu yöntemin en son ve daha güvenli sürümünü kullanmak için istemci işletim sistemini veya uygulamasını yükseltmeyi göz önünde bulundurabilirsiniz. Ayrıntılar: RPC Yöntemi: %1 İstemci Ağı Adresi: %2 İstemci SID: %3 Kullanıcı adı: %4

  Ayrıntılı Olay Kimliği 16985 günlüğe kayıt etmek için, sunucu veya etki alanı denetleyicisinde aşağıdaki kayıt defteri değerini değiştirebilirsiniz.

  Yol	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
  Tür	REG_DWORD
  Değer adı	AuditLegacyPasswordRpcMethods
  Value data	1 = ayrıntılı günlük etkinleştirildi  0 veya yok = ayrıntılı günlük devre dışı bırakılır. Yalnızca özet olayları. (Varsayılan)

Yeni SamrUnicodeChangePasswordUser4 (Opnum 73) içinde açıklandığı gibi, yeni SamrUnicodeChangePasswordUser4 yöntemini kullanırsanız, istemci ve sunucu düz metin eski paroladan bir şifreleme ve şifre çözme anahtarı türetmek için PBKDF2 Algoritması'nı kullanır. Bunun nedeni, eski parolanın hem sunucu hem de istemci için bilinen tek ortak paroladır.  

PBKDF2 hakkında daha fazla bilgi için bkz. BCryptDeriveKeyPBKDF2 işlevi (bcrypt.h).

Performans ve güvenlik nedenleriyle değişiklik yapmak gerekirse, istemcide parola değişikliği için istemci tarafından kullanılan PBKDF2 yineleme sayısını ayarlamak için istemcide aşağıdaki kayıt defteri değerini ayarlayabilirsiniz.

Yol	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
Tür	REG_DWORD
Değer adı	PBKDF2 Ölçütler
Value data	En az 5.000 ile en fazla 1.000.000
Varsayılan değer	10,000

Daha fazla bilgi için bkz. SMB Oturum Anahtarı almak.

Düşürme işlemi, sunucu veya istemci AES'i desteklemezse gerçekleşir.   

RC4'ün olduğu eski yöntemler kullanılırken güncelleştirilmiş sunucular günlük olaylarını günlüğe kaydedilir. 

Şu anda kullanılabilir zorlama modu yoktur, ancak gelecekte de olabilir. Henüz bir tarihimiz yok. 

Üçüncü taraf bir cihaz SAMR protokolünü kullan forma sahipse, bu önemli değildir. MS-SAMR protokolünü uygulayan üçüncü taraf satıcılar bunu uygulamayı seçebilir. Sorularınız için üçüncü taraf satıcısına başvurun. 

Ek değişiklik gerekli değildir.  

Bu protokol eskidir ve kullanımının çok düşük olduğunu tahmin ediyoruz. Eski uygulamalar bu API'leri kullanabilir. Ayrıca, AD Kullanıcıları ve Bilgisayarlar MMC gibi bazı Active Directory araçları SAMR kullanır.

Hayır. Yalnızca bu belirli SAMR API'lerini kullanan parola değişiklikleri etkilenir.

Evet. PBKDF2 RC4'den daha pahalıdır. SamrUnicodeChangePasswordUser4 API'si çağıran etki alanı denetleyicisinde aynı anda birçok parola değişikliği yaşanıyorsa, LSASS'nin CPU yükü etkilenebilir. Gerekirse istemcilerde PBKDF2 yinelemelerini değiştirebilirsiniz, ancak bunun güvenliği düşürecek şekilde varsayılandan azaltmayı önerilmez.