KB5014754. Зміни автентифікації на основі сертифіката на контролерах домену Windows

Не вдалося знайти надійних зіставлень сертифікатів, і сертифікат не має нового розширення ідентифікатора безпеки (SID), яке міг перевірити KDC.

Сертифікат видано користувачу до його існування в Active Directory та надійне зіставлення не виявилося. Ця подія реєструється, лише коли KDC перебуває в режимі сумісності.

SID, який міститься в новому розширенні сертифіката користувача, не відповідає ідентифікатору SID користувача, тобто це означає, що сертифікат видано іншому користувачу.

Примітка Деякі поля, наприклад "Видавець", "Тема" та "Серійний номер", відображаються у форматі "пересилання". Коли ви додаєте рядок зіставлення до атрибута altSecurityIdentities , цей формат потрібно змінити на протилежний. Наприклад, щоб додати зіставлення X509IssuerSerialNumber із користувачем, виконайте пошук у полях "Видавець" і "Серійний номер" сертифіката, який потрібно зіставити з користувачем. Див. зразок вихідних даних нижче.

• Видавець: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Серійний номер: 2B000000011AC000000012

Потім оновіть атрибут altSecurityIdentities користувача в Active Directory таким рядком:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC1100000002B"

Щоб оновити цей атрибут за допомогою Powershell, можна скористатися командою нижче. Пам'ятайте, що за замовчуванням лише адміністратори домену мають дозвіл на оновлення цього атрибута.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Зауважте, що якщо значення SerialNumber змінюється на протилежне, необхідно зберігати порядок відображення даних у байтах. Це означає, що змінення серійного номера "A1B2C3" має призвести до появи рядка "C3B2A1", а не "3C2B1A". Докладні відомості див. в статті "Як": Зіставлення користувача з сертифікатом за допомогою всіх методів, доступних в атрибуті altSecurityIdentities.

Після інсталяції оновлень Windows від 10 травня 2022 р. пристрої перебуватимуть у режимі сумісності. Якщо сертифікат можна надійно зіставити з користувачем, автентифікація пройде належним чином. Якщо сертифікат може бути зіставлений із користувачем лише слабо, автентифікація пройде належним чином. Проте повідомлення з попередженням записуватиметься до журналу, якщо сертифікат старіший за користувача. Якщо сертифікат старіший за користувача, а розділ реєстру заднім числом відсутній або діапазон виходить за межі компенсації заднім числом, автентифікація завершиться помилкою та з'явиться повідомлення про помилку.  Якщо розділ реєстру заднім числом настроєно, він записуватиме в журнал подій попереджувальне повідомлення, якщо дати підпадають під дію компенсації заднім числом.

Після інсталяції оновлень Windows від 10 травня 2022 року стежте за попереджувальними повідомленнями, які можуть з'явитися через місяць або більше. Якщо повідомлень із попередженнями немає, наполегливо рекомендуємо ввімкнути режим повного примусового застосування на всіх контролерах доменів, що використовує автентифікацію за сертифікатом. Щоб увімкнути режим повного примусового застосування, можна скористатися розділом реєстру KDC .

Після інсталяції оновлення системи безпеки Windows за лютий 2025 р. контролери домену перейдуть у режим повного примусового застосування за допомогою розділу реєстру StrongCertificateBindingForce, якщо їх не буде оновлено до режиму перевірки або примусового застосування за допомогою розділу реєстру StrongCertificateBindingForce . Автентифікацію буде відмовлено, якщо не вдасться зіставити сертифікат. Можливість повернення до режиму сумісності зберігатиметься, доки не буде інстальовано оновлення системи безпеки Windows від 9 вересня 2025 р. Після цієї дати розділ реєстру StrongCertificateBindingForce більше не підтримуватиметься

Якщо автентифікація на основі сертифіката використовує слабке зіставлення, яке не можна перенести із середовища, ви можете перевести контролери доменів у неактивний режим за допомогою параметра розділу реєстру. Корпорація Майкрософт не рекомендує цього робити, і ми видалимо неактивний режим 11 квітня 2023 року.

Після інсталяції оновлень Windows від 13 лютого 2024 р. або пізнішої версії та підтримки клієнтів з інстальованою додатковою функцією RSAT зіставлення сертифікатів у розділі "Користувачі & комп'ютери Active Directory" за замовчуванням вибирає надійне зіставлення за допомогою X509IssuerSerialNumber замість слабкого зіставлення з використанням X509IssuerSubject. За потреби цей параметр можна змінити.

Ознаки захворювання

Корпорація Майкрософт отримала повідомлення про те, що параметр "Обробляти, навіть якщо об'єкти Групова політика не змінилися" під об'єктом Групова політика "Система> адміністративних >шаблонівконфігурації комп'ютера>Групова політика>Налаштування обробки політики реєстру" можуть періодично перешкоджати зіставленню на основі імен на контролерах домену.

Тимчасове вирішення

Щоб вирішити цю проблему, вимкніть параметр "Процес, навіть якщо об'єкти Групова політика не змінилися" на контролерах домену. Робіть це, лише якщо потрібні зіставлення на основі імен, як визначено в Group PolicyГрупова політика "Computer Configuration>Administrative Templates>System>KDC>Allow name-based sustainable mappings for certificates". Докладні відомості див. в статті "Увімкнення надійного зіставлення імен у сценаріях для урядових установ".

Наступний крок

Ми вивчаємо ці звіти та надамо додаткову інформацію, коли вона з'явиться.

• Використовуйте журнал операцій Kerberos на відповідному комп'ютері, щоб визначити, якому контролеру домену не вдається виконати вхід. Перейдіть до розділу перегляд подій>Журнали програм і служб:\Microsoft \Windows\Security-Kerberos\Operational.
• Знайдіть відповідні події в журналі системних подій на контролері домену, проти якого відбувається автентифікація облікового запису.
• Якщо сертифікат старіший за обліковий запис, перевипустіть сертифікат або додайте захищене зіставлення altSecurityIdentities з обліковим записом (див. розділ "Зіставлення сертифікатів").
• Якщо сертифікат містить розширення SID, переконайтеся, що ідентифікатор SID відповідає обліковому запису.
• Якщо сертифікат використовується для автентифікації кількох різних облікових записів, для кожного з них знадобиться окреме зіставлення altSecurityIdentities .
• Якщо сертифікат не має безпечного зіставлення з обліковим записом, додайте його або залиште домен у режимі сумісності, доки домен не можна буде додати.

Прикладом зіставлення сертифікатів TLS є використання веб-програми інтрамережі IIS.

• Після інсталяції захистів CVE-2022-26391 і CVE-2022-26923 ці сценарії за замовчуванням використовують протокол служби сертифікатів Kerberos для користувача (S4U) для зіставлення сертифікатів і автентифікації.
• У протоколі Kerberos Certificate S4U запит автентифікації проходить із сервера програми до контролера домену, а не від клієнта до контролера домену. Тому відповідні події будуть проходити на сервері програми.

Цей розділ реєстру не підтримуватиметься після інсталяції оновлень для Windows, випущених у вересні 2025 р. або пізніше.

Коли серверна програма вимагає автентифікації клієнта, Schannel автоматично намагається зіставити сертифікат, який клієнт TLS надає обліковому запису користувача. Щоб автентифікувати користувачів, які входять за допомогою клієнтського сертифіката, можна створити зіставлення, пов'язавши відомості сертифіката з обліковим записом користувача Windows. Після створення та ввімкнення зіставлення сертифікатів щоразу, коли клієнт представляє клієнтський сертифікат, серверна програма автоматично пов'язує користувача з відповідним обліковим записом користувача Windows.

Schannel намагатиметься зіставити всі методи зіставлення сертифікатів, які ви активували, доки один із них не буде успішним. Schannel спочатку намагається зіставити зіставлення Service-For-User-to-Self (S4U2Self). Зіставлення суб'єкта/видавця, емітента та сертифіката UPN тепер вважаються слабкими та вимкнуті за замовчуванням. Сума бітової маски вибраних параметрів визначає список доступних методів зіставлення сертифікатів.

Розділ реєстру SChannel за замовчуванням був 0x1F і зараз 0x18. Якщо у вас виникають помилки автентифікації з серверними програмами на основі Schannel, радимо виконати тестування. Додайте або змініть значення розділу реєстру CertificateMappingMethods на контролері домену та встановіть для нього значення 0x1F та перевірте, чи вирішено проблему. Щоб отримати докладні відомості, пошукайте помилки в системних журналах подій на контролері домену, щоб знайти помилки, наведені в цій статті. Зверніть увагу, що в разі повернення значення розділу реєстру SChannel до попереднього значення за замовчуванням (0x1F) використовуватимуться методи зіставлення зі слабким сертифікатом.

Додаткові ресурси та підтримку див. в розділі "Додаткові ресурси".

Після інсталяції оновлень, які адресують CVE-2022-26931 і CVE-2022-26923, автентифікація може завершитися помилкою у випадках, коли сертифікати користувача старіші за час створення користувача. Цей розділ реєстру забезпечує успішну автентифікацію, якщо ви використовуєте слабкі зіставлення сертифікатів у своєму середовищі та сертифікат передує часу створення сертифіката в межах установленого діапазону. Цей розділ реєстру не впливає на користувачів або комп'ютери з надійними зіставленнями сертифікатів, оскільки час створення сертифіката та час створення сертифіката не перевіряються надійними зіставленнями сертифікатів. Цей розділ реєстру не діє, якщо для параметра StrongCertificateBindingEnforcement встановлено значення 2.

Використання цього розділу реєстру – тимчасовий спосіб вирішення для середовищ, які цього потребують. Його слід виконувати обережно. Використання цього розділу реєстру означає наступне для вашого середовища.

• Цей розділ реєстру працює лише в режимі сумісності , починаючи з оновлень, випущених 10 травня 2022 року. Автентифікацію буде дозволено в межах компенсаційного зсуву заднім числом, але попередження журналу подій буде записано для слабкого зв'язування.
• Увімкнення цього розділу реєстру дає змогу автентифікувати користувача, коли сертифікат настає до часу створення сертифіката в межах заданого діапазону, як слабке зіставлення. Слабкі зіставлення не підтримуватимуться після інсталяції оновлень для Windows, випущених у вересні 2025 р. або пізніше.

Щоб виключити сертифікати шаблону користувача з отримання нового розширення, виконайте наведену нижче команду certutil.

1. Увійдіть на сервер центру сертифікації або приєднаний до домену клієнт Windows 10 з правами адміністратора підприємства або еквівалентними обліковими даними.
2. Відкрийте командний рядок і виберіть команду "Запустити з правами адміністратора".
3. Run certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Якщо вимкнути додавання цього розширення, захист від нього буде знято. Розгляньте можливість робити це лише після однієї з таких дій:

1. Ви підтверджуєте, що відповідні сертифікати неприйнятні для криптографії з відкритим ключем для початкової автентифікації (PKINIT) в автентифікації за протоколом Kerberos у KDC
2. Для відповідних сертифікатів настроєно інші надійні зіставлення сертифікатів

Після інсталяції оновлення Windows від 10 травня 2022 р. середовища з розгорнутими сторонніми центрами сертифікації не будуть захищені за допомогою нового розширення SID. Клієнтам, на яких це вплинуло, слід звернутися до відповідних постачальників центру сертифікації або розглянути можливість використання інших ефективних зіставлень сертифікатів, описаних вище.

Додаткові ресурси та підтримку див. в розділі "Додаткові ресурси".

Ні, поновлення не потрібне. Центр сертифікації постачатиметься в режимі сумісності. Щоб забезпечити надійне зіставлення з розширенням ObjectSID, знадобиться новий сертифікат.

В оновленні Windows від 11 лютого 2025 р. пристрої, які ще не застосовано (для реєстру StrongCertificateBindingForce встановлено значення 2), буде переміщено до режиму примусового виконання. Якщо автентифікацію відмовлено, відобразиться подія з ідентифікатором 39 (або ідентифікатор події 41 для Windows ServerWindows Server 2008 R2 SP1 і Windows ServerWindows Server 2008 SP2). На цьому етапі ви зможете знову встановити для розділу реєстру значення 1 (режим сумісності).

В оновленні Windows від 9 вересня 2025 р. значення реєстру StrongCertificateBindingForce більше не підтримуватиметься.