KB5021131: Cách quản lý các thay đổi giao thức Kerberos liên quan đến CVE-2022-37966

Các tài khoản được gắn cờ vì sử dụng RC4 rõ ràng sẽ dễ bị tấn công. Ngoài ra, các môi trường không có khóa phiên AES trong tài khoản krbgt có thể dễ bị tấn công. Để giảm thiểu sự cố này, hãy làm theo hướng dẫn về cách xác định các lỗ hổng và sử dụng mục cài đặt Khóa đăng ký để cập nhật các cài đặt mặc định mã hóa được đặt rõ ràng.

Bạn sẽ cần xác minh rằng tất cả các thiết bị của mình có một loại Mã hóa Kerberos chung.  Để biết thêm thông tin về các loại Mã hóa Kerberos, hãy xem Giải mã Lựa chọn Các Loại Mã hóa Kerberos được Hỗ trợ.

Các môi trường không có loại Mã hóa Kerberos phổ biến trước đây có thể đã hoạt động do tự động thêm RC4 hoặc thêm AES, nếu RC4 bị vô hiệu hóa thông qua chính sách nhóm bởi bộ kiểm soát miền. Hành vi này đã thay đổi với các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 và giờ đây sẽ tuân thủ nghiêm ngặt những gì được đặt trong khóa đăng ký, msds-SupportedEncryptionTypes và DefaultDomainSupportedEncTypes.

Nếu tài khoản không được đặt msds-SupportedEncryptionTypes hoặc được đặt thành 0, bộ kiểm soát miền sẽ giả định giá trị mặc định là 0x27 (39) hoặc bộ kiểm soát miền sẽ sử dụng cài đặt trong khóa đăng ký DefaultDomainSupportedEncTypes.

Nếu tài khoản có msds-SupportedEncryptionTypes được đặt, cài đặt này được ưu tiên và có thể gây ra lỗi khi đặt cấu hình loại Mã hóa Kerberos phổ biến bị che giấu bởi hành vi tự động thêm RC4 hoặc AES trước đó, không còn là hành vi này sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022.

Để biết thông tin về cách xác minh xem bạn có loại Mã hóa Kerberos phổ biến hay không, hãy xem câu hỏi Làm cách nào để xác minh rằng tất cả các thiết bị của tôi đều có loại Mã hóa Kerberos phổ biến?

Hãy xem câu hỏi trước để biết thêm thông tin tại sao thiết bị của bạn có thể không có loại Mã hóa Kerberos phổ biến sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022.

Nếu bạn đã cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022, bạn có thể phát hiện các thiết bị không có loại Mã hóa Kerberos phổ biến bằng cách xem Nhật ký sự kiện Microsoft-Windows-Kerberos-Key-Distribution-Center Sự kiện 27, giúp xác định các loại mã hóa rời rạc giữa máy khách Kerberos và máy chủ hoặc dịch vụ từ xa.

Việc cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 trên máy khách hoặc máy chủ có vai trò không phải là Bộ điều khiển miền sẽ không ảnh hưởng đến xác thực Kerberos trong môi trường của bạn.

Để giảm thiểu sự cố đã biết này, hãy mở cửa sổ Dấu nhắc Lệnh với tư cách Người quản trị và tạm thời sử dụng lệnh sau để đặt khóa đăng ký KrbtgtFullPacSignature thành 0:

-

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Bước tiếp theo Chúng tôi đang tìm cách giải quyết và sẽ cung cấp bản cập nhật trong bản phát hành sắp tới.

Sau khi cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 trên bộ điều khiển miền của bạn, tất cả các thiết bị phải hỗ trợ ký phiếu AES theo yêu cầu để tuân thủ với khả năng tăng cường bảo mật cần thiết cho CVE-2022-37967.

Các bước tiếp theo Nếu bạn đã chạy phần mềm và chương trình cơ sở cập nhật nhất cho các thiết bị không chạy Windows và đã xác minh rằng có sẵn loại Mã hóa chung giữa bộ điều khiển miền Windows và thiết bị không phải Windows, bạn sẽ cần liên hệ với nhà sản xuất thiết bị (OEM) để được trợ giúp hoặc thay thế các thiết bị bằng các thiết bị tuân thủ.

Các thiết bị Windows được cập nhật không thể truy cập các phiên bản Windows không được hỗ trợ bao gồm Windows XP, Windows Server 2003, Windows Server 2008 SP2 và Windows Server 2008 R2 SP1 trừ khi bạn có giấy phép ESU. Nếu bạn có giấy phép ESU, bạn sẽ cần cài đặt các bản cập nhật được phát hành vào hoặc sau ngày 8 tháng 11 năm 2022 và xác minh cấu hình của bạn có loại Mã hóa phổ biến sẵn dùng giữa tất cả các thiết bị.

Các bước tiếp theo Cài đặt các bản cập nhật, nếu chúng có sẵn cho phiên bản Windows của bạn và bạn có giấy phép ESU hiện hành. Nếu không có bản cập nhật, bạn sẽ cần nâng cấp lên phiên bản Windows được hỗ trợ hoặc di chuyển bất kỳ ứng dụng hay dịch vụ nào sang một thiết bị tương thích.

Sự cố đã biết này đã được giải quyết trong các bản cập nhật ngoài băng tần được phát hành vào ngày 17 tháng 11 năm 2022 và ngày 18 tháng 11 năm 2022 để cài đặt trên tất cả bộ điều khiển miền trong môi trường của bạn. Bạn không cần cài đặt bất kỳ bản cập nhật nào hoặc thực hiện bất kỳ thay đổi nào đối với máy chủ hoặc thiết bị máy khách khác trong môi trường của bạn để giải quyết sự cố này. Nếu bạn đã sử dụng bất kỳ giải pháp thay thế hoặc giảm nhẹ nào cho vấn đề này, chúng không còn cần thiết nữa và chúng tôi khuyên bạn nên loại bỏ chúng.

Để tải gói độc lập cho các bản cập nhật ngoài băng tần này, hãy tìm kiếm số KB trong Danh mục Microsoft Update. Bạn có thể nhập các bản cập nhật này theo cách thủ công vào Windows Server Update Services (WSUS) và Microsoft Endpoint Configuration Manager. Để biết hướng dẫn về WSUS, hãy xem WSUS và Site Danh mục. Để biết hướng dẫn về Bộ quản lý Cấu hình, hãy xem Nhập các bản cập nhật từ Danh mục Microsoft Update.

Cập nhật tích lũy:

• Windows Server 2022: KB5021656
• Windows Server 2019: KB5021655
• Windows Server 2016: KB5021654

Bản cập nhật độc lập:

• Windows Server 2012 R2: KB5021653
• Windows Server 2012: KB5021652
• Windows Server 2008 R2 SP1: KB5021651 (phát hành ngày 18 tháng 11 năm 2022)
• Windows Server 2008 SP2: KB5021657

Nếu bạn đã xác minh cấu hình môi trường của mình và vẫn gặp phải sự cố với bất kỳ triển khai Kerberos nào không phải của Microsoft, bạn sẽ cần các bản cập nhật hoặc hỗ trợ từ nhà phát triển hoặc nhà sản xuất ứng dụng hoặc thiết bị.

Có thể giảm thiểu sự cố đã biết này bằng cách thực hiện một trong những thao tác sau:

• Đặt msds-SupportedEncryptionTypes bằng bitwise hoặc đặt thành 0x27 mặc định hiện tại để bảo lưu giá trị hiện tại. Ví dụ:

  • Msds-SuportedEncryptionTypes -bor 0x27
    

• Đặt msds-SupportEncryptionTypes thành 0 để cho phép bộ điều khiển miền sử dụng giá trị mặc định của 0x27.

Bước tiếp theo Chúng tôi đang tìm cách giải quyết và sẽ cung cấp bản cập nhật trong bản phát hành sắp tới.

Advanced Encryption Standard (AES) là mã hóa khối thay thế Data Encryption Standard (DES). AES có thể được sử dụng để bảo vệ dữ liệu điện tử. Thuật toán AES có thể được sử dụng để mã hóa (mã hóa) và giải mã (giải mã) thông tin. Mã hóa chuyển đổi dữ liệu sang một dạng không thể hiểu được gọi là văn bản mật mã; Việc giải mã văn bản mật mã sẽ chuyển dữ liệu trở lại dạng ban đầu của nó, được gọi là văn bản thuần túy. AES được sử dụng trong mật mã khóa đối xứng, có nghĩa là cùng một khóa được sử dụng cho các hoạt động mã hóa và giải mã. Nó cũng là một mã hóa khối, có nghĩa là nó hoạt động trên các khối văn bản thuần và văn bản mật mã có kích thước cố định, đồng thời yêu cầu kích thước của văn bản thuần cũng như văn bản mật mã phải là bội số chính xác của kích thước khối này. AES còn được gọi là thuật toán mã hóa đối xứng Rijndael [FIPS197].

Kerberos là một giao thức xác thực mạng máy tính hoạt động dựa trên "vé" để cho phép các nút giao tiếp qua mạng chứng minh danh tính của chúng với nhau một cách an toàn.

Dịch vụ Kerberos thực thi các dịch vụ xác thực và cấp phiếu được chỉ định trong giao thức Kerberos. Dịch vụ chạy trên các máy tính được người quản trị của vùng hoặc tên miền chọn; Nó không có mặt trên mọi máy trên mạng. Nó phải có quyền truy cập vào cơ sở dữ liệu tài khoản cho vùng mà nó phục vụ.  KDC được tích hợp vào vai trò kiểm soát miền . Đây là một dịch vụ mạng cung cấp vé cho máy khách để sử dụng trong quá trình xác thực dịch vụ.

RC4-HMAC (RC4) là một thuật toán mã hóa đối xứng có độ dài khóa biến đổi. Để biết thêm thông tin, hãy xem [SCHNEIER] phần 17.1.

Khóa đối xứng có thời lượng tương đối ngắn (khóa mật mã được thương lượng bởi máy khách và máy chủ dựa trên một bí mật chung). Tuổi thọ của khóa phiên được giới hạn bởi phiên mà nó được liên kết. Khóa phiên phải đủ mạnh để chịu được phân tích mật mã trong suốt thời gian tồn tại của phiên.

Một loại vé đặc biệt có thể được sử dụng để lấy các vé khác. Vé cấp vé (TGT) được lấy sau khi xác thực ban đầu trong sàn giao dịch Xác thực (AS); Sau đó, người dùng không cần xuất trình thông tin đăng nhập của họ nhưng có thể sử dụng TGT để nhận các vé tiếp theo.