症状
当这些设备使用智能卡 (PIV) 身份验证时，打印和扫描可能会失败。
注意
备注使用智能卡 (PIV) 身份验证时受影响的设备在使用用户名和密码身份验证时应按预期工作。
原因
2021 年 7 月 13 日，Microsoft发布了针对 CVE-2021-33764 的强化更改 当你在 DC) (域控制器上安装 2021 年 7 月 13 日发布的更新或更高版本时，这可能会导致此问题。 受影响的设备是智能卡对打印机、扫描仪和多功能设备进行身份验证，它们不支持在 PKINIT Kerberos 身份验证期间 Diffie-Hellman (DH) 进行密钥交换，或者在 Kerberos AS 请求期间不播发对 des-ede3-cbc (“triple DES”) 的支持。
根据 RFC 4556 规范的第 3.2.1 节，要使此密钥交换正常工作，客户端必须支持并通知密钥发行中心 (KDC) 他们支持 des-ede3-cbc (“triple DES”) 。 在加密模式下使用密钥交换启动 Kerberos PKINIT，但既不支持也不告诉 KDC 支持 des-ede3-cbc (“triple DES”) 的客户端将被拒绝。
要使打印机和扫描仪客户端设备符合要求，它们必须：
- 在 PKINIT Kerberos 身份验证期间使用 Diffie-Hellman 进行密钥交换 (首选) 。
- 或者，支持并通知 KDC 支持 des-ede3-cbc (“triple DES”) 。
后续步骤
如果打印或扫描设备遇到此问题，请验证是否使用了适用于设备的最新固件和驱动程序。 如果你的固件和驱动程序是最新的，但仍遇到此问题，我们建议你与设备制造商联系。 询问是否需要更改配置才能使设备符合 CVE-2021-33764 的强化更改，或者是否将提供合规更新。
如果当前无法使设备符合 CVE-2021-33764 所需的 RFC 4556 规范第 3.2.1 节，则现在可以使用临时缓解措施，同时与打印或扫描设备制造商合作，在下面的时间线内使环境符合要求。
注意
重要 必须在 2022 年 7 月 12 日之前更新和兼容或替换不合规的设备，届时临时缓解措施将无法用于安全更新。
重要通知
此方案的所有临时缓解措施将在 2022 年 7 月和 2022 年 8 月删除，具体取决于你使用的 Windows 版本 (请参阅下表) 。 以后的更新中将没有进一步的回退选项。 必须从 2022 年 1 月开始使用审核事件来标识所有不合规的设备，并从 2022 年 7 月下旬开始通过缓解删除进行更新或替换。
2022 年 7 月之后，不符合 RFC 4456 规范和 CVE-2021-33764 的设备将无法与更新的 Windows 设备一起使用。
| 目标日期 | 事件 | 适用于 |
|---|---|---|
| 2021 年 7 月 13 日 | 发布了带有 CVE-2021-33764 强化更改的汇报。 默认情况下，所有后续更新都启用了此强化更改。 | Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2021 年 7 月 27 日 | 发布了带有临时缓解措施的汇报，以解决不合规设备上的打印和扫描问题。 必须在你的 DC 上安装此日期或之后发布的汇报，并且必须使用以下步骤通过注册表项启用缓解措施。 | Windows Server 2019 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2021 年 7 月 29 日 | 发布了带有临时缓解措施的汇报，以解决不合规设备上的打印和扫描问题。 必须将此日期或之后发布的汇报安装在 DC 上，并且必须使用以下步骤通过注册表项启用缓解措施。 | Windows Server 2016 |
| 2022 年 1 月 25 日 | 汇报将在 Active Directory 域控制器上记录审核事件，这些事件识别 RFC-4456 不兼容打印机，一旦 DC 安装 2022 年 7 月/2022 年 8 月或更高版本的更新，这些打印机就无法进行身份验证。 | Windows Server 2022 Windows Server 2019 |
| 2022 年 2 月 8 日 | 汇报将在 Active Directory 域控制器上记录审核事件，这些事件识别 RFC-4456 不兼容打印机，一旦 DC 安装 2022 年 7 月/2022 年 8 月或更高版本的更新，这些打印机就无法进行身份验证。 | Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2022 年 7 月 21 日 | 可选的预览更新版本，用于删除临时缓解措施，以要求在环境中使用投诉打印和扫描设备。 | Windows Server 2019 |
| 2022 年 8 月 9 日 |
重要 安全更新版本，用于删除临时缓解措施，以要求在环境中使用投诉打印和扫描设备。 当天或之后发布的所有更新都将无法使用临时缓解措施。 在安装这些更新后或稍后在 Active Directory 域控制器上安装这些更新后，智能卡身份验证打印机和扫描程序必须符合 CVE-2021-33764 所需的 RFC 4556 规范的第 3.2.1 节 |
Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
若要在环境中使用临时缓解措施，请在所有域控制器上执行以下步骤：
在域控制器上，将下列临时缓解注册表值设置为 1 (使用注册表编辑器或环境中提供的自动化工具启用) 。
注意
备注 此步骤 1 可以在步骤 2 和步骤 3 之前或之后完成。
安装允许 2021 年 7 月 27 日或更高版本发布的更新中提供的临时缓解措施的更新 (以下是允许临时缓解) 的首批更新：
重启域控制器。
临时缓解的注册表值：
注意
警告 如果使用注册表编辑器或其他方法修改注册表不当，可能会出现严重问题。 要解决这些问题，可能需要重新安装操作系统。 Microsoft 无法保证可以解决这些问题。 修改注册表的风险由您自行承担。
| 注册表子项 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc |
|---|---|
| 值 | Allow3DesFallback |
| 数据类型 | DWORD |
| 数据 |
1 - 启用临时缓解措施。 0 – 启用默认行为，要求设备遵守 RFC 4556 规范的第 3.2.1 节。 |
| 是否需要重启？ | 否 |
可以使用以下命令创建上述注册表项以及值和数据集：
- reg add HKLM\System\CurrentControlSet\Services\Kdc /v Allow3DesFallback /t REG_DWORD /d 1 /f
审核事件
2022 年 1 月 25 日和 2022 年 2 月 8 日的 Windows 更新还将添加新的事件 ID，以帮助识别受影响的设备。
| 事件日志 | 机制 |
|---|---|
| 事件类型 | 错误 |
| 事件源 | Kdcsvc |
| 事件 ID | 307 39 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| 事件文本 | Kerberos 客户端未提供支持的加密类型，以便与使用加密模式的 PKINIT 协议一起使用。
|
| 事件日志 | 机制 |
|---|---|
| 事件类型 | 警告 |
| 事件源 | Kdcsvc |
| 事件 ID | 308 40 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| 事件文本 | 已向此 DC 进行身份验证的不合规 PKINIT Kerberos 客户端。 允许身份验证，因为已设置 KDCGlobalAllowDesFallBack。 将来，这些连接将无法验证。 标识设备并希望升级其 Kerberos 实现
|
状态
Microsoft 已经确认在“适用范围”部分中列出的 Microsoft 产品中存在此问题。