KB5004605: Bản cập nhật bổ sung tính năng bảo vệ mã hóa AES cho giao thức MS-SAMR đối với CVE-2021-33757

• Mô hình thay đổi mật khẩu
  Các bản cập nhật sửa đổi kiểu thay đổi mật khẩu của giao thức bằng cách thêm phương pháp thay đổi mật khẩu mới sẽ sử dụng AES.

  Phương pháp cũ với RC4	Phương pháp mới với AES
  SamrUnicodeChangePasswordUser2 (OpNum 55)	SamrUnicodeChangePasswordUser4 (OpNum 73)

  Để biết danh sách đầy đủ các OpNum MS-SAMR, hãy xem các Sự kiện xử lý thư và Quy tắc trình tự.

• Mẫu hình đặt mật khẩu
  Các bản cập nhật sửa đổi mẫu thiết đặt mật khẩu của giao thức bằng cách thêm hai Lớp Thông tin Người dùng mới vào phương thức SamrSetInformationUser2 (Opnum 58). Bạn có thể đặt thông tin mật khẩu như sau.

  Phương pháp cũ với RC4	Phương pháp mới với AES
  SamrSetInformationUser2 (Opnum 58) cùng với UserInternal4InformationNew giữ mật khẩu người dùng được mã hóa với RC4.	SamrSetInformationUser2 (Opnum 58) cùng với UserInternal8Information vốn lưu giữ mật khẩu người dùng được mã hóa với AES.
  SamrSetInformationUser2 (Opnum 58) cùng với UserInternal5InformationNew giữ mật khẩu người dùng được mã hóa với RC4 và tất cả các thuộc tính người dùng khác.	SamrSetInformationUser2 (Opnum 58) cùng với UserInternal7Information giữ mật khẩu được mã hóa với AES và tất cả các thuộc tính người dùng khác.

Phương pháp SamrConnect5 hiện tại thường được sử dụng để thiết lập kết nối giữa máy khách SAM và máy chủ.

Máy chủ cập nhật bây giờ sẽ trả về một bit mới trong phản hồi SamrConnect5() như được định nghĩa trong SAMPR_REVISION_INFO_V1.

Nếu máy chủ cập nhật có hỗ trợ AES, máy khách sẽ sử dụng các phương thức mới và lớp thông tin mới cho các thao tác mật khẩu. Nếu máy chủ không trả về cờ này hoặc nếu máy khách không được cập nhật, máy khách sẽ quay trở lại sử dụng các phương thức trước đó với mã hóa RC4.

Các hoạt động đặt mật khẩu yêu cầu bộ kiểm soát miền có thể ghi được (RWDC). Các thay đổi mật khẩu được Bộ kiểm soát Miền Chỉ Đọc (RODC) chuyển tiếp đến RWDC. Tất cả các thiết bị phải được cập nhật để sử dụng AES. Ví dụ:

• Nếu máy khách, RODC hoặc RWDC không được cập nhật, mã hóa RC4 sẽ được sử dụng.
• Nếu máy khách, RODC và RWDC được cập nhật, mã hóa AES sẽ được sử dụng.

Các bản cập nhật ngày 13 tháng 7 năm 2021 thêm bốn sự kiện mới vào nhật ký hệ thống để giúp xác định các thiết bị chưa được cập nhật và giúp cải thiện bảo mật.

• Trạng thái cấu hình ID Sự kiện 16982 hoặc 16983 được đăng nhập khi khởi động hoặc khi thay đổi cấu hình sổ đăng ký.

  ID Sự kiện: 16982

  Nhật ký sự kiện	Hệ thống
  Nguồn sự kiện	Directory-Services-SAM
  ID Sự kiện	16982
  Cấp độ	Thông tin
  Văn bản tin nhắn sự kiện	Trình quản lý tài khoản bảo mật hiện đang ghi nhật ký các sự kiện chi tiết cho các máy khách từ xa gọi thay đổi mật khẩu thừa tự hoặc đặt phương pháp RPC. Cài đặt này có thể gây ra một số lượng lớn thư và chỉ nên được sử dụng trong một khoảng thời gian ngắn để chẩn đoán các vấn đề.

  ID Sự kiện: 16983

  Nhật ký sự kiện	Hệ thống
  Nguồn sự kiện	Directory-Services-SAM
  ID Sự kiện	16983
  Cấp độ	Thông tin
  Văn bản tin nhắn sự kiện	Trình quản lý tài khoản bảo mật hiện đang ghi nhật ký các sự kiện tóm tắt định kỳ cho các máy khách từ xa gọi thay đổi mật khẩu thừa tự hoặc đặt phương pháp RPC.

• Sau khi áp dụng bản cập nhật ngày 13 tháng 7 năm 2021, sự kiện tóm tắt 16984 sẽ được ghi vào Nhật ký sự kiện hệ thống 60 phút một lần.

  ID Sự kiện: 16984

  Nhật ký sự kiện	Hệ thống
  Nguồn sự kiện	Directory-Services-SAM
  ID Sự kiện	16984
  Cấp độ	Thông tin
  Văn bản tin nhắn sự kiện	Trình quản lý tài khoản bảo mật đã phát hiện %x lần thay đổi mật khẩu cũ hoặc đặt các lệnh gọi phương thức RPC trong 60 phút qua.

• Sau khi đặt cấu hình ghi nhật ký sự kiện chi tiết, ID Sự kiện 16985 được ghi vào Nhật ký sự kiện Hệ thống mỗi khi phương pháp RPC kế thừa được sử dụng để thay đổi hoặc đặt mật khẩu tài khoản.

  ID Sự kiện: 16985

  Nhật ký sự kiện	Hệ thống
  Nguồn sự kiện	Directory-Services-SAM
  ID Sự kiện	16985
  Cấp độ	Thông tin
  Văn bản tin nhắn sự kiện	Trình quản lý tài khoản bảo mật đã phát hiện sự sử dụng phương pháp thay đổi cũ hoặc đặt RPC từ một máy khách mạng. Hãy cân nhắc nâng cấp hệ điều hành máy khách hoặc ứng dụng để sử dụng phiên bản mới nhất và bảo mật hơn của phương pháp này. Chi tiết: Phương pháp RPC: %1 Địa chỉ mạng máy khách: %2 SID máy khách: %3 Tên người dùng: %4

  Để ghi nhật ký đầy đủ ID Sự kiện 16985, hãy chuyển đổi giá trị sổ đăng ký sau đây trên máy chủ hoặc bộ điều khiển miền.

  Đường dẫn	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
  Loại	REG_DWORD
  Tên giá trị	AuditLegacyPasswordRpcMethods
  Dữ liệu giá trị	1 = Ghi nhật ký đầy đủ được bật 0 hoặc không hiện diện = Ghi nhật ký đầy đủ bị tắt. Chỉ sự kiện tóm tắt. (Mặc định)

Như mô tả trong SamrUnicodeChangePasswordUser4 (Opnum 73), khi bạn sử dụng phương pháp SamrUnicodeChangePasswordUser4 mới, máy khách và máy chủ sẽ sử dụng Thuật toán PBKDF2 để lấy khóa mã hóa và giải mã từ mật khẩu cũ văn bản thuần túy. Điều này là do mật khẩu cũ là bí mật chung duy nhất mà cả máy chủ và máy khách đều biết.

Để biết thêm thông tin về PBKDF2, hãy xem hàm BCryptDeriveKeyPBKDF2 (bcrypt.h).

Nếu bạn phải thực hiện thay đổi vì lý do hiệu suất và bảo mật, bạn có thể điều chỉnh số lần lặp PBKDF2 được máy khách sử dụng để thay đổi mật khẩu bằng cách đặt giá trị sổ đăng ký sau đây trên máy khách.

Để biết thêm thông tin, hãy xem Lấy Khóa Phiên SMB.

Việc hạ cấp xảy ra khi máy chủ hoặc máy khách không hỗ trợ AES.

Các máy chủ được cập nhật sẽ ghi nhật ký sự kiện khi các phương thức cũ với RC4 được sử dụng.

Hiện tại không có chế độ thực thi nào khả dụng nhưng có thể sẽ có trong tương lai. Chúng tôi không có ngày.

Nếu thiết bị của bên thứ ba không sử dụng giao thức SAMR thì điều này không quan trọng. Các nhà cung cấp bên thứ ba triển khai giao thức MS-SAMR có thể chọn triển khai giao thức này. Hãy liên hệ với nhà cung cấp bên thứ ba nếu có bất kỳ câu hỏi nào.

Không cần thay đổi bổ sung.

Giao thức này là thừa tự và chúng tôi dự đoán việc sử dụng nó sẽ rất thấp. Các ứng dụng cũ có thể sử dụng các API này. Ngoài ra, một số công cụ Active Directory chẳng hạn như Người dùng và Máy tính AD MMC sử dụng SAMR.

Không. Chỉ những thay đổi mật khẩu sử dụng các API SAMR cụ thể này mới bị ảnh hưởng.

Có. PBKDF2 đắt hơn RC4. Nếu có nhiều thay đổi mật khẩu diễn ra cùng lúc trên bộ điều khiển miền gọi API SamrUnicodeChangePasswordUser4 , thì tải CPU của LSASS có thể bị ảnh hưởng. Bạn có thể điều chỉnh các lần lặp PBKDF2 trên máy khách nếu cần, tuy nhiên, chúng tôi khuyên bạn không nên giảm từ mặc định vì điều này sẽ làm giảm tính bảo mật.