問題
當這些裝置使用智慧卡 (PIV) 驗證時，列印和掃描可能會失敗。
注意
備註 在使用智慧卡 (PIV) 驗證時受到影響的裝置，在使用使用者名稱和密碼驗證時應如預期運作。
原因
2021 年 7 月 13 日，Microsoft已針對 CVE-2021-33764 在網域控制站上安裝 2021 年 7 月 13 日或更新版本的更新時，可能會導致此問題 (DC) 。 受影響的裝置是智慧卡驗證印表機、掃描器和多功能裝置，它們不支援在 PKINIT Kerberos 驗證期間 Diffie-Hellman (DH) 用於金鑰交換，或在 Kerberos AS 要求期間公告對 des-ede3-cbc (“triple DES”) 的支援。
根據 RFC 4556 規格的 3.2.1 節，若要讓此金鑰交換正常運作，用戶端必須支援並通知金鑰發佈中心 (KDC) 支援 des-ede3-cbc (“triple DES”) 。 在加密模式下使用金鑰交換啟動 Kerberos PKINIT，但既不支援也不告訴 KDC 支援 des-ede3-cbc (“triple DES”) 的用戶端，將會遭到拒絕。
為了讓印表機和掃描器用戶端裝置符合規範，必須：
- 在 PKINIT 期間使用 Diffie-Hellman 進行金鑰交換 Kerberos 驗證 (慣用) 。
- 或者，支援並通知 KDC 其對 des-ede3-cbc (“triple DES”) 的支援。
後續步驟
如果您在使用列印或掃描裝置時遇到此問題，請確認您使用的是適用於裝置的最新韌體和驅動程式。 如果您的韌體和驅動程式是最新的，但仍然遇到此問題，我們建議您聯絡裝置製造商。 詢問是否需要變更設定才能讓裝置符合 CVE-2021-33764 的強化變更，或是否將提供符合規範的更新。
如果目前無法讓您的裝置符合 CVE-2021-33764 所需的 RFC 4556 規格的 3.2.1 節，當您與列印或掃描裝置製造商合作時，現在可以使用暫時緩和措施，以在下列時間表內讓您的環境符合規範。
注意
重要 您必須在 2022 年 7 月 12 日之前更新並符合規範或更換不相容的裝置，屆時暫時防護功能將無法用於安全性更新。
重要通知
此案例的所有暫時防護功能將於 2022 年 7 月和 2022 年 8 月移除，視您使用的 Windows 版本而定 (請參閱下表) 。 在之後的更新中，將不會有進一步的後援選項。 從 2022 年 1 月開始，必須使用稽核事件識別所有不符合規範的裝置，並從 2022 年 7 月底開始透過風險降低移除來更新或取代。
2022 年 7 月之後，不符合 RFC 4456 規格和 CVE-2021-33764 的裝置將無法與更新的 Windows 裝置搭配使用。
| 目標日期 | 事件 | 適用於 |
|---|---|---|
| 2021 年 7 月 13 日 | 隨 CVE-2021-33764 的強化變更一起發行的匯報。 所有更新的更新預設都會開啟此強化變更。 | Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2021 年 7 月 27 日 | 發行的匯報包含暫時緩和措施，以解決不相容裝置上的列印和掃描問題。 在此日期或之後發行的匯報必須安裝在您的 DC 上，而且必須使用下列步驟透過登錄機碼開啟風險降低功能。 | Windows Server 2019 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2021 年 7 月 29 日 | 發行的匯報包含暫時緩和措施，以解決不相容裝置上的列印和掃描問題。 您必須在此日期或之後發行的匯報，而且必須使用下列步驟，透過登錄機碼開啟風險降低功能。 | Windows Server 2016 |
| 2022 年 1 月 25 日 | 匯報會記錄 Active Directory 網域控制站上的稽核事件，識別 RFC-4456 不相容印表機，一旦 DC 安裝 2022 年 7 月/2022 年 8 月或更新版本的更新，這些印表機就會驗證失敗。 | Windows Server 2022 Windows Server 2019 |
| 2022 年 2 月 8 日 | 匯報會記錄 Active Directory 網域控制站上的稽核事件，識別 RFC-4456 不相容印表機，一旦 DC 安裝 2022 年 7 月/2022 年 8 月或更新版本的更新，這些印表機就會驗證失敗。 | Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
| 2022 年 7 月 21 日 | 選擇性預覽更新版本，以刪除暫時緩和措施，以在您的環境中需要抱怨列印和掃描裝置。 | Windows Server 2019 |
| 2022 年 8 月 9 日 |
重要 安全性更新發行，以移除暫時緩和措施，以在您的環境中需要抱怨列印和掃描裝置。 今天或之後發佈的所有更新將無法使用暫時緩和措施。 在 Active Directory 網域控制站上安裝這些更新或更新之後，智慧卡驗證印表機和掃描器必須符合 CVE-2021-33764 所需的 RFC 4556 規格的 3.2.1 節 |
Windows Server 2019 Windows Server 2016 Windows Server 2012 R2 Windows Server 2012 Windows Server 2008 R2 SP1 Windows Server 2008 SP2 |
若要在您的環境中使用暫時防護功能，請在所有網域控制站上執行下列步驟：
在網域控制站上，將下列暫存風險降低登錄值設定為 1， (使用登錄編輯程式或環境中可用的自動化工具來啟用) 。
注意
備註 此步驟 1 可以在步驟 2 和 3 之前或之後完成。
安裝允許 2021 年 7 月 27 日或更新版本發行的更新中提供暫時風險降低功能的更新 (以下是允許暫時風險降低) 的首批更新：
重新啟動您的網域控制器。
暫時緩和措施的登錄值：
注意
警告 如果您使用「登錄編輯程式」或其他方法不正確地修改登錄，可能會發生嚴重問題。 這些問題可能會迫使您重新安裝作業系統。 Microsoft 不保證這些問題可以解決。 Modify the registry at your own risk.
| 登錄子機碼 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc |
|---|---|
| 值 | Allow3DesFallback |
| 資料類型 | DWORD |
| 資料 |
1 – 啟用暫時風險降低。 0 – 啟用預設行為，要求裝置符合 RFC 4556 規格的 3.2.1 節。 |
| 需要重新啟動？ | 否 |
您可以使用下列命令建立上述登錄機碼以及值和資料集：
- reg add HKLM\System\CurrentControlSet\Services\Kdc /v Allow3DesFallback /t REG_DWORD /d 1 /f
稽核事件
2022 年 1 月 25 日和 2022 年 2 月 8 日 Windows 更新也會新增事件識別碼，以協助識別受影響的裝置。
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 錯誤 |
| 事件來源 | Kdcsvc |
| 事件識別碼 | 307 39 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| 事件文字 | Kerberos 用戶端未提供支援的加密類型，以搭配使用加密模式的 PKINIT 通訊協定使用。
|
| 事件記錄檔 | 系統 |
|---|---|
| 事件類型 | 警告 |
| 事件來源 | Kdcsvc |
| 事件識別碼 | 308 40 (Windows Server 2008 R2 SP1、Windows Server 2008 SP2) |
| 事件文字 | 已向此 DC 驗證的不合格 PKINIT Kerberos 用戶端。 允許驗證是因為已設定 KDCGlobalAllowDesFallBack。 未來，這些連線將無法驗證。 識別裝置，並尋求升級其 Kerberos 實作
|
狀態
Microsoft 已確認「套用至」部分所列的 Microsoft 產品確實有上述問題。