Зведення
Оновлення Windows від 14 грудня 2021 р. або пізніше додають підтримку конфіденційності на рівні пакетів у клієнтах файлової системи із шифруванням (EFS). Під час підключення до серверів EFS, які мають оновлення Windows від 14 грудня 2021 р. або після 14 грудня 2021 року, клієнти Windows і клієнти, які не використовують Windows EFS, використовують конфіденційність на рівні пакетів.
Вжити заходів
Щоб захистити середовище, щоб уникнути перебоїв, виконайте такі дії:
-
Оновіть усі клієнти EFS, а потім сервери, інсталювавши оновлення Windows від 14 грудня 2021 р. або пізніше.
-
Починаючи з 8 березня 2022 року, примусове оновлення фази, примусове застосування режим буде потрібно і ввімкнуто на всіх серверах Windows EFS.
Хронометраж оновлень Windows
Оновлення EFS для Windows буде випущено у два етапи:
-
Початкове розгортання: введення оновлення 14 грудня 2021 р.
-
Етап примусового застосування: активовано режим примусового застосування. Видалення розділу реєстру AllowAllCliAuth .
14 грудня 2021 р.: початковий етап розгортання
Початковий етап розгортання починається з оновлень Windows, випущених 14 грудня 2021 року.
Цей випуск:
-
Застосування оновлень Windows від 14 грудня 2021 р. або пізніше усуває проблему, описану в CVE-2021-43217.
Оновлення містить примусовий режим AllowAllCliAuth розділ реєстру, щоб допомогти у розгортанні оновлень.
EFS в мережі: Для середовищ, де EFS використовується для шифрування файлів через мережу, від клієнта до сервера, на якому розміщено файли, радимо спочатку оновити клієнт, а потім сервер. Оновлення серверів до того, як клієнти викличуть помилки підключення EFS.
У середовищах, у яких оновлення клієнтів EFS до неможливе використання серверів, ми надали розділ реєстру AllowAllCliAuth , який можна настроїти на сервері, щоб клієнти EFS, які не оновлюються, могли продовжувати з'єднуватися до завершення оновлення клієнта. Після оновлення клієнтів радимо видалити розділ реєстру AllowAllCliAuth або встановити значення 0 , щоб забезпечити застосування виправлення для всіх клієнтів.
8 березня 2022 р.: Етап примусового виконання
Другий етап розгортання починається з оновлення Windows, випущеного 8 березня 2022 року. У цьому випуску:
-
Підтримку розділу реєстру AllowAllCliAuth буде видалено, щоб переконатися, що примусове виправлення для CVE-2021-43217 відбувається на всіх клієнтах і серверах, оновлених оновленням Windows від 8 березня 2022 р.
Відомості розділу реєстру
Параметр реєстру AllowAllCliAuth забезпечує, чи клієнти EFS повинні використовувати конфіденційність на рівні пакетів під час підключення до сервера EFS, на якому інстальовано оновлення Windows, випущені в період з 14 грудня 2021 року по 22 лютого 2022 року.
Параметр AllowAllCliAuth ігноруватиметься серверами EFS, які інсталювали оновлення Windows від 8 березня 2022 року та пізніших версій.
|
Підрозділ реєстру |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EFS |
|
Значення |
AllowAllCliAuth |
|
Тип даних |
REG_DWORD |
|
Дані |
1. Сервер EFS не забезпечує конфіденційність на рівні пакетів на сервері EFS. 0: клієнти EFS мають підтримувати конфіденційність на рівні пакетів, щоб підключитися до сервера EFS із цим набором розділів реєстру. Це режим примусового застосування. Нотатка Якщо розділ реєстру не існує на сервері, використовується параметр за промовчанням. |
|
За замовчуванням |
0 (якщо розділ реєстру не встановлено) |
|
Чи потрібне перезавантаження? |
Ні |
Події аудиту
Оновлення Windows від 14 грудня 2021 року додає два нові журнали подій. Зверніть увагу, що ці події можуть записуватися лише один раз під час сеансу після перезавантаження, якщо змінити параметр реєстру примусового режиму.
Подія 1
Ця подія реєструється, коли неоновлюваний клієнт EFS, який не підтримує конфіденційність на рівні пакетів, намагається підключитися до сервера EFS, який містить оновлення Windows, випущені 14 грудня 2021 р. або пізніше.
|
Журнал подій |
Застосування |
|
Тип події |
Помилка |
|
Джерело події |
EFS |
|
Ідентифікатор події |
4420 |
|
Текст події |
Клієнт спробував викликати API служби EFS без автентифікації на рівні конфіденційності. Код помилки: <помилкаКод>. Див . https://go.microsoft.com/fwlink/?linkid=2181030 |
Подія 2
Ця подія реєструється, коли клієнт EFS намагається підключитися до сервера EFS, на якому інстальовано оновлення Windows від 14 грудня 2021 р. або пізніше, і встановіть для параметра реєстру AllowAllCliAuth значення 1.
|
Журнал подій |
Застосування |
|
Тип події |
Попередження |
|
Джерело події |
EFS |
|
Ідентифікатор події |
4421 |
|
Текст події |
Клієнт, який викликав API служби EFS без автентифікації на рівні конфіденційності, був дозволений. Див. https://go.microsoft.com/fwlink/?linkid=2181030. |
