Änderungsprotokoll
|
Änderung 1: 19. Juni 2023:
|
Inhalt
Zusammenfassung
Die am oder nach dem 8. November 2022 veröffentlichten Windows-Updates beheben die Schwachstelle bei der Sicherheitsumgehung und der Erhöhung von Berechtigungen durch Authentifizierungsaushandlung mithilfe einer schwachen RC4-HMAC-Aushandlung.
Mit diesem Update wird AES als Standardverschlüsselungstyp für Sitzungsschlüssel für Konten festgelegt, die noch nicht mit einem Standardverschlüsselungstyp gekennzeichnet sind.
Um Ihre Umgebung zu schützen, installieren Sie Windows-Updates, die am oder nach dem 8. November 2022 veröffentlicht wurden, auf allen Geräten, einschließlich Domänencontrollern. Weitere Informationen finden Sie unter Änderung 1.
Weitere Informationen zu diesen Sicherheitsanfälligkeiten finden Sie unter CVE-2022-37966.
Explizit festgelegter Verschlüsselungstypen für Sitzungsschlüssel entdecken
Möglicherweise haben Sie für Ihre Benutzerkonten explizit Verschlüsselungstypen definiert, die für CVE-2022-37966 anfällig sind. Suchen Sie mithilfe der folgenden Active Directory-Abfrage nach Konten, bei denen DES/RC4 explizit aktiviert ist, aber nicht nach AES:
-
Get-ADObject -Filter "msDS-supportedEncryptionTypes -bor 0x7 -and -not msDS-supportedEncryptionTypes -bor 0x18"
Einstellungen von Registrierungsschlüssel
Nach der Installation der Windows-Updates vom oder nach dem 8. November 2022 ist der folgende Registrierungsschlüssel für das Kerberos-Protokoll verfügbar:
DefaultDomainSupportedEncTypes
|
Registrierungsschlüssel |
HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\KDC |
|
Wert |
DefaultDomainSupportedEncTypes |
|
Datentyp |
REG_DWORD |
|
Datenwert |
0x27 (Standard) |
|
Neustart erforderlich? |
Nein |
Hinweis Wenn Sie den standardmäßig unterstützten Verschlüsselungstyp für einen Active Directory-Benutzer oder -Computer ändern müssen, fügen Sie den Registrierungsschlüssel manuell hinzu und konfigurieren ihn, um den neuen unterstützten Verschlüsselungstyp festzulegen. Durch dieses Update wird der Registrierungsschlüssel nicht automatisch hinzugefügt.
Windows-Domänencontroller verwenden diesen Wert, um die unterstützten Verschlüsselungstypen für Konten in Active Directory zu bestimmen, deren msds-SupportedEncryptionType-Wert entweder leer oder nicht festgelegt ist. Ein Computer, auf dem eine unterstützte Version des Windows-Betriebssystems ausgeführt wird, legt automatisch die msds-SupportedEncryptionTypes für dieses Computerkonto in Active Directory fest. Dies basiert auf dem konfigurierten Wert von Verschlüsselungstypen, die vom Kerberos-Protokoll verwendet werden dürfen. Weitere Informationen finden Sie unter Netzwerksicherheit: Konfigurieren von Verschlüsselungstypen, die für Kerberos zulässig sind.
Für Benutzerkonten, gruppenverwaltete Dienstkonten und andere Konten in Active Directory ist der Wert msds-SupportedEncryptionTypes nicht automatisch festgelegt.
Informationen zu unterstützten Verschlüsselungstypen, die Sie manuell festlegen können, finden Sie unter Bit-Flags für unterstützte Verschlüsselungstypen. Weitere Informationen finden Sie unter Was sollten Sie zuerst tun, um die Umgebung vorzubereiten und Kerberos-Authentifizierungsprobleme zu verhindern.
Der Standardwert 0x27 (DES-, RC4-, AES-Sitzungsschlüssel) wurde als minimal notwendige Änderung für dieses Sicherheitsupdate gewählt. Wir empfehlen Kunden, den Wert auf 0x3C festzulegen, um die Sicherheit zu erhöhen, da dieser Wert sowohl AES-verschlüsselte Tickets als auch AES-Sitzungsschlüssel zulässt. Wenn Kunden unsere Anleitung zum Umstieg auf eine AES-Umgebung befolgt haben, in der RC4 nicht für das Kerberos-Protokoll verwendet wird, empfehlen wir Kunden, den Wert auf 0x38festzulegen. Weitere Informationen finden Sie unter Änderung 1.
Windows-Ereignisse im Zusammenhang mit CVE-2022-37966
Im Kerberos-Schlüsselverteilungscenter fehlen starke Schlüssel für das Konto.
|
Ereignisprotokoll |
System |
|
Ereignistyp |
Fehler |
|
Ereignisquelle |
Kdcsvc |
|
Ereignis-ID |
42 |
|
Ereignistext |
Dem Kerberos-Schlüsselverteilungscenter fehlen starke Schlüssel für das Konto: accountname. Sie müssen das Kennwort dieses Kontos aktualisieren, um die Verwendung unsicherer Kryptografie zu verhindern. Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2210019. |
Wenn dieser Fehler auftritt, müssen Sie wahrscheinlich Ihr Krbtgt-Kennwort zurücksetzen, bevor Sie KrbtgtFullPacSingature = 3 festlegen oder Windows-Updates installieren, die am oder nach dem 11. Juli 2023 veröffentlicht wurden. Das Update, das den Erzwingungsmodus für CVE-2022-37967 programmgesteuert aktiviert, ist im folgenden Artikel der Microsoft Knowledge Base dokumentiert:
KB5020805: Verwalten von Kerberos-Protokolländerungen im Zusammenhang mit CVE-2022-37967
Weitere Informationen dazu finden Sie im Thema New-KrbtgtKeys.ps1 auf der GitHub-Website.
Häufig gestellte Fragen (FAQ) und bekannte Probleme
Konten, die für die explizite RC4-Nutzung gekennzeichnet sind, sind anfällig. Darüber hinaus sind Umgebungen, die nicht über AES-Sitzungsschlüssel innerhalb des krbgt-Kontos verfügen, möglicherweise anfällig. Um dieses Problem zu beheben, befolgen Sie die Anleitung zum Identifizieren von Sicherheitsrisiken, und verwenden Sie den Abschnitt Registrierungsschlüsseleinstellung, um explizit festgelegte Verschlüsselungsstandardwerte zu aktualisieren.
Sie müssen überprüfen, ob alle Ihre Geräte über einen gemeinsamen Kerberos-Verschlüsselungstyp verfügen. Weitere Informationen zu Kerberos-Verschlüsselungstypen finden Sie unter Entschlüsseln der Auswahl unterstützter Kerberos-Verschlüsselungstypen.
Umgebungen ohne einen gemeinsamen Kerberos-Verschlüsselungstyp waren zuvor möglicherweise funktionsfähig, da RC4 automatisch hinzugefügt wurde oder AES hinzugefügt wurde, wenn RC4 über Gruppenrichtlinien von Domänencontrollern deaktiviert wurde. Dieses Verhalten hat sich mit den Updates geändert, die am oder nach dem 8. November 2022 veröffentlicht wurden, und folgt nun streng den Einstellungen in den Registrierungsschlüsseln msds-SupportedEncryptionTypes undDefaultDomainSupportedEncTypes.
Wenn für das Konto msds-SupportedEncryptionTypes nicht festgelegt oder auf 0 festgelegt ist, gehen Domänencontroller von einem Standardwert von 0x27 (39) aus, oder der Domänencontroller verwendet die Einstellung im Registrierungsschlüssel DefaultDomainSupportedEncTypes.
Wenn für das Konto msds-SupportedEncryptionTypes festgelegt ist, wird diese Einstellung berücksichtigt und kann einen Fehler aufzeigen, bei dem ein allgemeiner Kerberos-Verschlüsselungstyp konfiguriert wurde, der durch das vorherige Verhalten des automatischen Hinzufügens von RC4 oder AES maskiert wurde, was nach der Installation von am oder nach dem 8. November 2022 veröffentlichten Updates nicht mehr dem Verhalten entspricht.
Informationen zum Überprüfen eines gemeinsamen Kerberos-Verschlüsselungstyps finden Sie unter Frage Wie kann ich überprüfen, ob alle meine Geräte über einen gemeinsamen Kerberos-Verschlüsselungstyp verfügen?
In der vorherigen Frage finden Sie weitere Informationen dazu, warum Ihre Geräte nach der Installation von Updates, die am oder nach dem 8. November 2022 veröffentlicht wurden, möglicherweise keinen gemeinsamen Kerberos-Verschlüsselungstyp haben.
Wenn Sie bereits Updates installiert haben, die am oder nach dem 8. November 2022 veröffentlicht wurden, können Sie Geräte erkennen, die keinen gemeinsamen Kerberos-Verschlüsselungstyp aufweisen, indem Sie das Ereignisprotokoll für Microsoft-Windows-Kerberos-Key-Distribution-Center Event 27 anzeigen, das getrennte Verschlüsselungstypen zwischen Kerberos-Clients und Remoteservern oder -diensten identifiziert.
Die Installation von Updates, die am oder nach dem 8. November 2022 auf Clients oder Nicht-Domänencontroller-Rollenservern veröffentlicht wurden, sollte sich nicht auf die Kerberos-Authentifizierung in Ihrer Umgebung auswirken.
Um dieses bekannte Problem zu beheben, öffnen Sie ein Eingabeaufforderungsfenster als Administrator, und verwenden Sie vorübergehend den folgenden Befehl, um denRegistrierungsschlüssel KrbtgtFullPacSignature auf 0festzulegen:
-
reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD
Hinweis Sobald dieses bekannte Problem behoben ist, sollten Sie KrbtgtFullPacSignature auf eine höhere Einstellung festlegen, je nachdem, was Ihre Umgebung zulässt. Es wird empfohlen, den Erzwingungsmodus zu aktivieren, sobald Ihre Umgebung bereit ist.
Nächste SchritteWir arbeiten an einer Lösung und werden in einer zukünftigen Veröffentlichung ein Update bereitstellen.
Nach der Installation von Updates, die am oder nach dem 8. November 2022 auf Ihren Domänencontrollern veröffentlicht wurden, müssen alle Geräte die AES-Ticketsignierung nach Bedarf unterstützen, um mit der für CVE-2022-37967 erforderlichen Sicherheitserschwernis konform zu sein.
Nächste Schritte Wenn Sie bereits die aktuellste Software und Firmware für Ihre Nicht-Windows-Geräte ausführen und sich vergewissert haben, dass ein gemeinsamer Verschlüsselungstyp zwischen Ihren Windows-Domänencontrollern und Ihren Nicht-Windows-Geräten verfügbar ist, müssen Sie sich an den Gerätehersteller (OEM) wenden, um Hilfe zu erhalten oder die Geräte durch kompatible Geräte zu ersetzen.
WICHTIG Es wird nicht empfohlen, eine Problemumgehung zu verwenden, um nicht konformen Geräten die Authentifizierung zu ermöglichen, da dies Ihre Umgebung anfällig machen könnte.
Auf nicht unterstützte Windows-Versionen wie Windows XP, Windows Server 2003, Windows Server 2008 SP2 und Windows Server 2008 R2 SP1 kann von aktualisierten Windows-Geräten nur zugegriffen werden, wenn Sie über eine ESU-Lizenz verfügen. Wenn Sie über eine ESU-Lizenz verfügen, müssen Sie Updates installieren, die am oder nach dem 8. November 2022 veröffentlicht wurden, und überprüfen, ob für Ihre Konfiguration ein gemeinsamer Verschlüsselungstyp für alle Geräte verfügbar ist.
Nächste Schritte Installieren Sie Updates, wenn diese für Ihre Windows-Version verfügbar sind und Sie über die entsprechende ESU-Lizenz verfügen. Wenn keine Updates verfügbar sind, müssen Sie ein Upgrade auf eine unterstützte Version von Windows durchführen oder Anwendungen oder Dienste auf ein kompatibles Gerät verschieben.
WICHTIG Es wird nicht empfohlen, eine Problemumgehung zu verwenden, um nicht konformen Geräten die Authentifizierung zu ermöglichen, da dies Ihre Umgebung anfällig machen könnte.
Dieses bekannte Problem wurde in Out-of-Band-Updates behoben, die am 17. November 2022 und am 18. November 2022 für die Installation auf allenDomänencontrollern in Ihrer Umgebung veröffentlicht wurden. Sie müssen kein Update installieren oder Änderungen an anderen Servern oder Clientgeräten in Ihrer Umgebung vornehmen, um dieses Problem zu beheben. Wenn Sie für dieses Problem eine Problemumgehung oder Schadensbegrenzung verwendet haben, werden diese nicht mehr benötigt, und wir empfehlen Ihnen, sie zu entfernen.
Um das eigenständige Paket für diese Out-of-Band-Updates abzurufen, suchen Sie imMicrosoft Update-Katalognach der KB-Nummer. Sie können diese Updates manuell in Windows Server Update Services (WSUS) und Microsoft Endpoint Configuration Manager importieren. WSUS-Anweisungen finden Sie unter WSUS und die Katalogwebsite. Anweisungen zur Konfigurationsverwaltung finden Sie unter Importieren von Updates aus dem Microsoft Update-Katalog.
Hinweis Die folgenden Updates sind in Windows Update nicht verfügbar und werden nicht automatisch installiert.
Kumulative Updates:
Hinweis Sie müssen kein vorheriges Update anwenden, bevor Sie diese kumulativen Updates installieren. Wenn Sie bereits Updates installiert haben, die am 8. November 2022 veröffentlicht wurden, müssen Sie die betroffenen Updates nicht deinstallieren, bevor Sie spätere Updates installieren, einschließlich der oben aufgeführten Updates.
Standalone-Updates:
-
Windows Server 2012 R2: KB5021653
-
Windows Server 2012: KB5021652
-
Windows Server 2008 R2 SP1: KB5021651(veröffentlicht am 18. November 2022)
-
Windows Server 2008 SP2: KB5021657
Notizen
-
Wenn Sie reine Sicherheitsupdates für diese Versionen von Windows Server verwenden, müssen Sie diese eigenständigen Updates nur für den Monat November 2022 installieren. Reine Sicherheitsupdates sind nicht kumulativ, und Sie müssen auch alle vorherigen reinen Sicherheitsupdates installieren, um vollständig auf dem neuesten Stand zu sein. Monatliche Rollupupdates sind kumulativ und enthalten Sicherheits- und alle Qualitätsupdates.
-
Wenn Sie monatliche Rollupupdates verwenden, müssen Sie sowohl die oben aufgeführten eigenständigen Updates installieren, um dieses Problem zu beheben, als auch die am 8. November 2022 veröffentlichten monatlichen Rollups installieren, um die Qualitätsupdates für November 2022 zu erhalten. Wenn Sie bereits Updates installiert haben, die am 8. November 2022 veröffentlicht wurden, müssen Sie die betroffenen Updates nicht deinstallieren, bevor Sie spätere Updates installieren, einschließlich der oben aufgeführten Updates.
Wenn Sie die Konfiguration Ihrer Umgebung überprüft haben und weiterhin Probleme mit einer Kerberos-Implementierung auftreten, die nicht von Microsoft stammt, benötigen Sie Updates oder Support vom Entwickler oder Hersteller der App oder des Geräts.
Dieses bekannte Problem kann durch eine der folgenden Aktionen behoben werden:
-
Legen Sie msds-SupportedEncryptionTypes bitweise fest, oder legen Sie den aktuellen Standardwert 0x27 fest, um den aktuellen Wert beizubehalten. Beispiel:
-
Msds-SuportedEncryptionTypes -bor 0x27
-
-
Legen Sie msds-SupportEncryptionTypes auf 0fest, damit Domänencontroller den Standardwert von0x27verwenden können.
Nächste SchritteWir arbeiten an einer Lösung und werden in einer zukünftigen Veröffentlichung ein Update bereitstellen.
Glossar
Advanced Encryption Standard (AES) ist eine Blockchiffre, die den Datenverschlüsselungsstandard (DES) ablöst. AES kann verwendet werden, um elektronische Daten zu schützen. Der AES-Algorithmus kann verwendet werden, um Informationen zu verschlüsseln (verschlüsseln) und zu entschlüsseln (entschlüsseln). Die Verschlüsselung konvertiert Daten in eine unverständliche Form namens Chiffretext. Durch die Entschlüsselung des Chiffretexts werden die Daten wieder in ihre ursprüngliche Form konvertiert, die als Klartext bezeichnet wird. AES wird in der Kryptografie mit symmetrischen Schlüsseln verwendet, was bedeutet, dass derselbe Schlüssel für die Ver- und Entschlüsselungsvorgänge verwendet wird. Es ist auch eine Blockchiffre, was bedeutet, dass es mit Blöcken mit fester Größe von Klartext und Chiffretext arbeitet und erfordert, dass die Größe des Klartexts sowie des Chiffretexts ein genaues Vielfaches dieser Blockgröße ist. AES wird auch als symmetrischer Rijndael-Verschlüsselungsalgorithmus [FIPS197] bezeichnet.
Kerberos ist ein Computernetzwerkauthentifizierungsprotokoll, das auf "Tickets" basiert, damit Knoten, die über ein Netzwerk kommunizieren, ihre Identität untereinander auf sichere Weise nachweisen können.
Der Kerberos-Dienst, der die im Kerberos-Protokoll angegebenen Authentifizierungs- und Ticketgewährungsdienste implementiert. Der Dienst wird auf Computern ausgeführt, die vom Administrator des Bereichs oder der Domäne ausgewählt wurden. es ist nicht auf jedem Computer im Netzwerk vorhanden. Sie muss Zugriff auf eine Kontodatenbank für den Bereich haben, den sie bedient. KDCs sind in die Domänencontrollerrolle integriert. Es handelt sich um einen Netzwerkdienst, der Tickets für Clients zur Verwendung bei der Authentifizierung bei Diensten bereitstellt.
RC4-HMAC (RC4) ist ein symmetrischer Verschlüsselungsalgorithmus mit variabler Schlüssellänge. Weitere Informationen finden Sie unter [SCHNEIER] Abschnitt 17.1.
Ein relativ kurzlebige symmetrischer Schlüssel (ein kryptografischer Schlüssel, der vom Client und dem Server basierend auf einem gemeinsamen Geheimnis ausgehandelt wird). Die Lebensdauer einer Sitzungsschlüssel wird durch die Sitzung begrenzt, der sie zugeordnet ist. Ein Sitzungsschlüssel muss stark genug sein, um der Kryptoanalyse für die Lebensdauer der Sitzung standzuhalten.
Ein spezieller Tickettyp, der verwendet werden kann, um andere Tickets zu erhalten. Das Ticket-granting Ticket (TGT) wird nach der ersten Authentifizierung im As-Austausch (Authentication Service) abgerufen; Danach müssen Benutzer ihre Anmeldeinformationen nicht mehr vorlegen, können aber das TGT verwenden, um nachfolgende Tickets zu erhalten.
