WINDOWS için 2020 LDAP kanal bağlaması ve LDAP imzalama gereksinimleri (KB4520412)

Giriş

LDAP kanal bağlama ve LDAP imzalama, LDAP istemcileri ile Active Directory etki alanı denetleyicileri arasındaki iletişimin güvenliğini artırmanın yollarını sağlar. LDAP kanal bağlama ve LDAP imzalama için güvenli olmayan bir dizi varsayılan yapılandırma, ACTIVE Directory etki alanı denetleyicilerinde LDAP kanal bağlamasını ve LDAP imzalamayı zorlamadan LDAP istemcilerinin iletişim kurmasına olanak sağlayan vardır. Bu, Active Directory etki alanı denetleyicilerinde bir ayrıcalık yükseltme güvenlik açığına neden olabilir.

Bu güvenlik açığı, ortadaki bir adam saldırganın, gelen bağlantılarda kanal bağlama, imzalama veya kapatma işlemi gerektirecek şekilde yapılandırılmamış bir Microsoft etki alanı sunucusuna bir kimlik doğrulama isteğini başarıyla iletmesine olanak sağlar.

Microsoft, yöneticilerin ADV190023'de açıklanan güncelleştirme değişikliklerini yapmalarını önerir.

10 Mart 2020'de, yöneticilere Active Directory etki alanı denetleyicilerinde LDAP kanal bağlama için yapılandırmaları ayarlamaları için aşağıdaki seçenekleri sağlayarak bu güvenlik açığını gidermeye devam ediyoruz:

• Etki alanı denetleyicisi: LDAP sunucu kanalı bağlama belirteci gereksinimleri Grup İlkesi.

• Dizin Hizmeti olay günlüğünde, olay gönderen Microsoft-Windows-Active ile 3039, 3040 ve 3041'den Kanal Bağlama Belirteç Directory_DomainService leri (CBT) imzalama olayları.

Önemli: 10 Mart 2020 güncelleştirmeleri ve yakın gelecekte yapılacak güncelleştirmeler, LDAP imzalama veya LDAP kanal bağlama varsayılan ilkelerini veya bunların kayıt defteri eşdeğerini yeni veya var olan Active Directory etki alanı denetleyicilerinde değiştirmez.

LDAP imzalama Etki alanı denetleyicisi: LDAP sunucu imzalama gereksinimleri ilkesi, etki alanının desteklenen tüm Windows.

Bu değişiklik neden gerekli

Active Directory etki alanı denetleyicilerinin güvenliği, sunucu, imzalama isteğinde olmayan Basit Kimlik Doğrulama ve Güvenlik Katmanı (SASL) LDAP bağlamalarını reddedecek şekilde ya da net bir metin (SSL/TLS şifreli olmayan) bağlantıda gerçekleştirilen LDAP basit bağlamalarını reddederek önemli ölçüde geliştir edilebilir. SASL'ler; Anlaş, Kerberos, NTLM ve Özet protokolleri gibi protokolleri içerebilir.

İmzalanmamış ağ trafiği, yetkisiz erişenin kimlik doğrulaması girişimini ve bir anahtar verilmesini kestiği saldırıların yeniden yürütülmesine maruz kalabilir. Yetkisiz erişen, yasal kullanıcının kimliğine bürünmek için anahtarı yeniden kullanabilir. Buna ek olarak, imzalanmamış ağ trafiği, istemciyle sunucu arasındaki paketleri yakalamak, paketleri yapmak ve sonra da sunucuya ilet olmak için ortasındaki (MiTM) saldırılara karşı duyarlıdır. Bu durum Active Directory Etki Alanı Denetleyicisi'de ortaya çıkarsa, saldırgan bir sunucunun LDAP istemcisini kullanarak sahte isteklere dayalı kararlar vermelerine neden olabilir. LDAPS, istemcileri ve sunucuları bağlamak için kendi ayrı ağ bağlantı noktasını kullanır. LDAP için varsayılan bağlantı noktası 389 bağlantı noktasıdır, ancak LDAPS bağlantı noktası 636'yi kullanır ve istemciye bağlanırken SSL/TLS ayarlar.

Kanal bağlama belirteçleri, SSL/TLS üzerinden LDAP kimlik doğrulamasının ortadaki saldırılara karşı daha güvenli hale geliyor.

10 Mart 2020 güncelleştirmeleri

Önemli 10 Mart 2020 güncelleştirmeleri LDAP imzalama veya LDAP kanal bağlama varsayılan ilkelerini veya bunların yeni veya var olan Active Directory etki alanı denetleyicilerinde kayıt defteri eşdeğerini değiştirmez.

Windows 10 Mart 2020'de yayımlanacak olan güncelleştirmelere aşağıdaki özellikleri ekleyin:

• LDAP kanal bağlaması ile ilgili Olay Görüntüleyicisi'ne yeni olaylar kaydedilir. Bu olayların ayrıntıları içinbkz. Tablo 1 ve Tablo 2.

• Yeni Bir Etki Alanı denetleyicisi: DESTEKLENEN cihazlarda LDAP kanal bağlamasını yapılandırmak için LDAP sunucu kanal bağlama belirteci gereksinimleri Grup İlkesi.

LDAP İmzalama İlkesi ayarlarıyla kayıt defteri ayarları arasındaki eşleme aşağıdaki gibi olur:

• İlke Ayarı: "Etki alanı denetleyicisi: LDAP sunucu imzalama gereksinimleri"

• Kayıt Defteri Ayarı: LDAPServerIntegrity

• DataType: DWORD

• Kayıt Defteri Yolu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

LDAP Kanal Bağlama İlkesi ayarlarıyla kayıt defteri ayarları arasındaki eşleme aşağıdaki gibi olur:

• İlke Ayarı: "Etki alanı denetleyicisi: LDAP sunucusu kanal bağlama belirteci gereksinimleri"

• Kayıt Defteri Ayarı: LdapEnforceChannelBinding

• DataType: DWORD

• Kayıt Defteri Yolu: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters  

Önerilen işlemler

Müşterilerin en erken fırsatta aşağıdaki adımları atlarını kesinlikle tavsiye ediyoruz:

1. Güncelleştirmeler yayım geldiğinde 10 Mart 2020 Windows etki alanı denetleyicisi (DC) rol bilgisayarlarına güncelleştirmeleri yükleyin.

2. LDAP olayları tanılama günlüğünü 2 veya daha yüksek bir değere etkinleştirin.

3. Tüm DC rolü bilgisayarlarında Dizin hizmetleri olay günlüğünü filtrelenmiş olarak izleme:

   • Tablo 1'de listelenen LDAP İmzalama hatası olayı 2889.

   • Tablo 2'de LDAP Kanal Bağlama hatası olayı 3039.
     
     Not Etkinlik 3039 yalnızca Kanal Bağlaması Destek olduğunda veya Her Zaman olarak ayarlanmışkenoluşturul olabilir.

4. İmzalanmamış LDAP aramaları yaparken veya LDAP Kanal Bağlaması kullanımı olmayan 3039 olay olarak olay 2889 tarafından adı geçen her IP adresi için cihazın markasını, modelini ve türünü belirleme.

Cihaz türlerini 3 kategoriden 1'inde grupla:

1. Cihaz veya yönlendirici

   • Cihaz sağlayıcısına başvurun.

2. Başka bir işletim sisteminde Windows cihaz

   • Hem LDAP kanal bağlamanın hem de LDAP imzalamanın işletim sisteminde destek olduğunu ve ardından işletim sistemi ve uygulama sağlayıcısıyla çalışarak uygulamayı desteklemektedir.

3. Windows işletim sisteminde çalışan cihaz

   • LDAP imzalama, tüm desteklenen E-posta sürümlerinde tüm uygulamalar tarafından Windows. Uygulama veya hizmetinizin LDAP imzalamayı kullanıyor olduğunu doğrulayın.

   • LDAP kanal bağlaması için tüm Windows DEMİ-2017-8563 yüklü olması gerekir. Uygulama veya hizmetinizin LDAP kanal bağlaması kullanıyor olduğunu doğrulayın.

Ağ yakalamaları, süreç yöneticisi veya hata ayıklama izlemeleri gibi yerel, uzak, genel veya cihaza özgü izleme araçlarını kullanarak temel işletim sisteminin mi, bir hizmetin mi yoksa bir uygulamanın imzalanmamış LDAP bağlamaları mı gerçekleştir ettiğini veya CBT'yi kullanmadığını belirler.

Süreç Windows, hizmet ve uygulama adlarına eşlemek için görev yöneticisini veya eşdeğerini kullanın.

Güvenlikle ilgili güncelleştirme zamanlaması

10 Mart 2020 güncelleştirmelerinde yöneticilere LDAP kanal bağlama ve Active Directory etki alanı denetleyicilerinde LDAP imzalama yapılandırmalarını sağlayan denetimler sağlanacak. Müşterilerin en erken fırsatta bu makalede önerilen eylemleri yapmalarını kesinlikle öneririz.

Sık sorulan sorular

Active Directory etki alanı denetleyicilerinde LDAP kanal bağlama ve LDAP imzalama hakkında sık sorulan soruların yanıtları için bkz. Basit Dizin Erişim Protokolü'ne yapılan değişiklikler hakkında sık sorulan sorular.