基於 Active Directory 憑證服務情境的緩解計畫

摘要

某些可信平台模組 (TPM) 晶片組存在安全漏洞。 這種脆弱性削弱了關鍵優勢。

想了解更多關於此漏洞的資訊，請前往 ADV170012。

更多資訊

概觀

以下章節將協助您辨識、緩解及補救 Active Directory 憑證服務 (AD CS) 核發的憑證與請求，這些憑證與請求受到安全 諮詢ADV170012中所識別的漏洞影響Microsoft。

緩解程序著重於識別受漏洞影響的已簽發憑證，並著重於撤銷這些憑證。

在你們企業內部發行的 x.509 憑證，是根據指定 TPM KSP 的範本嗎？

如果您的企業使用 TPM KSP，使用這些憑證的情境很可能容易受到安全警示中所識別的漏洞影響。

緩和措施

1. 在裝置有合適的韌體更新之前，請將設定為使用 TPM KSP 的憑證範本更新為軟體基礎的 KSP。 這將防止未來產生使用 TPM KSP 而易受攻擊的憑證。 更多資訊請參見本文後面的 韌體更新 。

2. 對於已建立的憑證或請求：

   1. 請使用附上的腳本列出所有可能存在漏洞的已核發憑證。 

      1. 透過傳遞你在前一步取得的序號清單來撤銷這些證書。
      2. 強制依據現今指定軟體 KSP 的範本配置註冊新憑證。
      3. 盡可能使用新憑證重跑所有情境。

   2. 請使用附上的腳本列出所有可能有漏洞的請求憑證：

      1. 拒絕所有這些憑證請求。

   3. 請使用附上的腳本列出所有過期的證書。 請確認這些憑證不是仍被用來解密資料的加密憑證。 過期的憑證有加密嗎？

      1. 如果是，請確保資料先解密，然後用基於 KSP 軟體建立憑證的新金鑰加密。
      2. 如果沒有，你可以放心忽略這些證書。

   4. 確保有程序禁止這些被撤銷的證書被管理員意外撤銷。

確保新的KDC證書符合現行最佳實務

風險：許多其他伺服器可能符合網域控制器及網域控制器認證驗證標準。 這可能會引入眾所周知的惡意 KDC 攻擊途徑。

補救

所有網域控制器應核發包含 KDC EKU 的憑證，依據 [RFC 4556] 第 3.2.4 節所規定。 對於 AD CS，請使用 Kerberos 認證範本，並設定它取代所有已發出的 KDC 憑證。

欲了解更多資訊，[RFC 4556] 附錄 C 說明了 Windows 中各種 KDC 憑證範本的歷史。

當所有網域控制器都擁有符合 RFC 規範的 KDC 憑證時，Windows 可以透過 在 Windows Kerberos 中啟用嚴格 KDC 驗證來保護自己。

註 預設情況下，更新的 Kerberos 公開金鑰功能將被要求。

確保被吊銷的證書在相關情境下不合格

AD CS 用於組織中的各種情境。 它可能用於 Wi-Fi、VPN、KDC、System Center Configuration Manager 等等。

識別你組織中的所有情境。 請確保這些情境如果有被撤銷的憑證，或你已經用有效的軟體憑證替換所有被撤銷的憑證，且情境成功。

如果你使用OCSP或CRLS，這些工具一過期就會立即更新。 不過，通常你會想在所有電腦上更新快取的 CRL。 如果你的OCSP依賴CRL，務必立即取得最新的CRL。

為了確保快取被刪除，請在所有受影響的電腦上執行以下指令：

certutil -urlcache * delete

certutil –setreg chain\ChainCacheResyncFiletime @now

                 韌體更新

安裝 OEM 發布的更新，以修復 TPM 漏洞。 系統更新後，你可以更新憑證範本以使用 TPM 基礎的 KSP。