ความผิดพลาด

การปรับปรุงความปลอดภัยของ Windows ต่อไปนี้ในเดือนพฤษภาคม 2018 เมื่อพยายาม RDP ไปยังเวิร์กสเตชัน Windows 10 Pro ข้อความแสดงข้อผิดพลาดต่อไปนี้จะปรากฏขึ้นหลังจากป้อนข้อมูลรับรองผู้ใช้สำเร็จแล้ว:

เกิดข้อผิดพลาดในการรับรองความถูกต้อง ไม่รองรับฟังก์ชั่นที่ร้องขอ

อาจเป็นเพราะการแก้ไข oracle การเข้ารหัส CredSSP

ภาพหน้าจอ

แก้จุดบกพร่อง

• เราได้ยืนยันข้อมูลรับรองผู้ใช้ถูกต้องแล้ว

• รีบูตเวิร์กสเตชัน

• ยืนยันบริการไดเรกทอรีก่อนเปิดใช้งาน

• เวิร์คสเตชั่ที่แยกต่างหากที่ยังใช้งานแพตช์ความปลอดภัยเดือนพฤษภาคมจะไม่ได้รับผลกระทบ

สามารถจัดการได้ในระหว่างกาลสำหรับโฮสต์ที่อนุญาต, กังวลเกี่ยวกับการเข้าถึงเซิร์ฟเวอร์ที่ใช้ระบบคลาวด์ ยังไม่มีเหตุการณ์ใน Server 2016

ขอขอบคุณ

จากการตอบกลับทั้งหมดของGraham Cuthbertฉันสร้างไฟล์ข้อความใน Notepad ด้วยบรรทัดต่อไปนี้และคลิกสองครั้งหลังจากนั้น (ซึ่งควรเพิ่มลงใน Windows Registry พารามิเตอร์ใดก็ตามที่อยู่ในไฟล์)

โปรดทราบว่าบรรทัดแรกจะแตกต่างกันไปขึ้นอยู่กับว่าคุณใช้ Windows เวอร์ชันใดดังนั้นจึงควรเปิดregeditและส่งออกกฎใด ๆ เพื่อดูว่ามีอะไรในบรรทัดแรกและใช้เวอร์ชันเดียวกันในไฟล์ของคุณ

นอกจากนี้ฉันไม่ได้กังวลเกี่ยวกับความปลอดภัยที่ลดลงในสถานการณ์นี้เพราะฉันกำลังเชื่อมต่อกับ VPN ที่เข้ารหัสและโฮสต์ Windows ไม่สามารถเข้าถึงอินเทอร์เน็ตได้ดังนั้นจึงไม่มีการอัปเดตล่าสุด

ไฟล์rd_patch.reg:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
"AllowEncryptionOracle"=dword:00000002

สำหรับผู้ที่ต้องการสิ่งที่ง่ายต่อการคัดลอก / วางลงในพร้อมท์คำสั่งยกระดับ

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2 /f

Credential Security Support Provider protocol (CredSSP) เป็นผู้ให้บริการการตรวจสอบความถูกต้องที่ประมวลผลคำขอการรับรองความถูกต้องสำหรับแอปพลิเคชันอื่น

ช่องโหว่การเรียกใช้รหัสระยะไกลมีอยู่ใน CredSSP รุ่นที่ไม่ตรงกัน ผู้โจมตีที่โจมตีช่องโหว่นี้สามารถส่งผ่านข้อมูลรับรองผู้ใช้เพื่อรันโค้ดบนระบบเป้าหมาย แอปพลิเคชันใด ๆ ที่ขึ้นอยู่กับ CredSSP สำหรับการตรวจสอบอาจมีความเสี่ยงต่อการโจมตีประเภทนี้

[ ... ]

13 มีนาคม 2561

วันที่ 13 มีนาคม 2561 เริ่มวางจำหน่ายอัปเดตโปรโตคอลการตรวจสอบความน่าเชื่อถือ CredSSP และไคลเอนต์เดสก์ท็อประยะไกลสำหรับแพลตฟอร์มที่ได้รับผลกระทบทั้งหมด

การบรรเทาประกอบด้วยการติดตั้งการอัปเดตบนระบบปฏิบัติการไคลเอนต์และเซิร์ฟเวอร์ที่มีสิทธิ์ทั้งหมดจากนั้นใช้การตั้งค่านโยบายกลุ่มหรือการเทียบเท่าที่ใช้รีจิสทรีเพื่อจัดการตัวเลือกการตั้งค่าบนคอมพิวเตอร์ไคลเอนต์และเซิร์ฟเวอร์ เราขอแนะนำให้ผู้ดูแลระบบใช้นโยบายและตั้งเป็น "บังคับให้มีการอัพเดทไคลเอนต์" หรือ "บรรเทา" ในคอมพิวเตอร์ไคลเอนต์และเซิร์ฟเวอร์โดยเร็วที่สุด การเปลี่ยนแปลงเหล่านี้จะต้องมีการรีบูตระบบที่ได้รับผลกระทบ

เอาใจใส่อย่างใกล้ชิดกับนโยบายกลุ่มหรือการตั้งค่ารีจิสทรีที่ส่งผลให้เกิดการโต้ตอบ“ ถูกบล็อก” ระหว่างไคลเอนต์และเซิร์ฟเวอร์ในตารางความเข้ากันได้ในภายหลังในบทความนี้

17 เมษายน 2561

การปรับปรุงการปรับปรุงไคลเอนต์เดสก์ท็อประยะไกล (RDP) ใน KB 4093120 จะปรับปรุงข้อความแสดงข้อผิดพลาดที่แสดงเมื่อไคลเอนต์ที่ได้รับการปรับปรุงไม่สามารถเชื่อมต่อกับเซิร์ฟเวอร์ที่ไม่ได้รับการปรับปรุง

8 พฤษภาคม 2018

การปรับปรุงเพื่อเปลี่ยนการตั้งค่าเริ่มต้นจากความเสี่ยงเป็น Mitigated

ที่มา: https://support.microsoft.com/en-us/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018 [1]

ดูเพิ่มเติมที่กระทู้ reddit นี้: https://www.reddit.com/r/sysadmin/comments/8i4coq/kb4103727_breaks_remote_remote_desktop_connections_over/ [2]

วิธีแก้ปัญหาของ Microsoft:

• อัปเดตเซิร์ฟเวอร์และไคลเอนต์ (ต้องรีสตาร์ทแนะนำ)

ไม่แนะนำวิธีแก้ไขหากเซิร์ฟเวอร์ของคุณพร้อมใช้งานแบบสาธารณะหรือถ้าคุณไม่มีการควบคุมปริมาณการใช้งานที่เข้มงวดในเครือข่ายภายในของคุณ แต่บางครั้งการรีสตาร์ทเซิร์ฟเวอร์ RDP ในเวลาทำงานก็ไม่เป็นไร

• ตั้งค่านโยบายการแก้ไข CredSSP ผ่าน GPO หรือรีจิสทรี (ต้องรีสตาร์ทหรือ gpupdate / แรง)
• ถอนการติดตั้ง KB4103727 (ไม่ต้องรีสตาร์ท)
• ฉันคิดว่าการปิดใช้งาน NLA (Network Layer Authentication) อาจใช้งานได้เช่นกัน (ไม่ต้องรีสตาร์ท)

โปรดเข้าใจความเสี่ยงเมื่อใช้สิ่งเหล่านี้และแก้ไขระบบของคุณโดยเร็ว

[1] คำอธิบาย GPO CredSSP ทั้งหมดและการแก้ไขรีจิสทรีมีการอธิบายไว้ที่นี่

[2] ตัวอย่างของ GPO และการตั้งค่ารีจิสทรีในกรณีที่ไซต์ของ Microsoft ไม่ทำงาน

1. ไปที่ "ตัวแก้ไขนโยบายกลุ่มโลคัล> เทมเพลตการดูแล> ระบบ> การมอบสิทธิ์> การเข้ารหัส Oracle Remediation" แก้ไขและเปิดใช้งานจากนั้นตั้งค่า "ระดับการป้องกัน" เป็น "บรรเทา"
2. ตั้งค่าคีย์ลงทะเบียน (จาก 00000001 ถึง 00000002) [HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters] HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion นี้ "AllowEncryptionOracle" = dword:
3. รีสตาร์ทระบบหากจำเป็น

การวิจัย

อ้างถึงบทความนี้:

https://blogs.technet.microsoft.com/askpfeplat/2018/05/07/credssp-rdp-and-raven/

พฤษภาคม 2018 อัปเดตเบื้องต้นที่อาจส่งผลต่อความสามารถในการสร้างการเชื่อมต่อเซสชันโฮสต์ RDP ระยะไกลภายในองค์กร ปัญหานี้อาจเกิดขึ้นหากไคลเอ็นต์โลคัลและโฮสต์ระยะไกลมีการตั้งค่า“ การเข้ารหัส Oracle Remediation” ที่แตกต่างกันภายในรีจิสตรีที่กำหนดวิธีการสร้างเซสชัน RDP ด้วย CredSSP ตัวเลือกการตั้งค่า“ การเข้ารหัส Oracle Remediation” มีการกำหนดไว้ด้านล่างและหากเซิร์ฟเวอร์หรือไคลเอนต์มีความคาดหวังที่แตกต่างกันในการสร้างเซสชัน RDP ที่ปลอดภัยการเชื่อมต่ออาจถูกบล็อก

การอัปเดตครั้งที่สองซึ่งมีกำหนดจะวางจำหน่ายในวันที่ 8 พฤษภาคม 2018 จะเปลี่ยนพฤติกรรมเริ่มต้นจาก“ ช่องโหว่” เป็น“ บรรเทา”

หากคุณสังเกตเห็นว่าทั้งไคลเอนต์และเซิร์ฟเวอร์ได้รับการติดตั้งหรือไม่ แต่การตั้งค่านโยบายเริ่มต้นจะอยู่ที่“ ช่องโหว่” การเชื่อมต่อ RDP คือ“ เสี่ยงต่อการถูกโจมตี” เมื่อแก้ไขการตั้งค่าเริ่มต้นเป็น“ บรรเทา” แล้วการเชื่อมต่อจะกลายเป็น“ ปลอดภัย” โดยค่าเริ่มต้น

มติ

จากข้อมูลนี้ฉันกำลังดำเนินการเพื่อให้มั่นใจว่าลูกค้าทุกรายได้รับการแก้ไขอย่างสมบูรณ์ฉันจึงคาดว่าปัญหาจะได้รับการแก้ไข

ค่ารีจิสตรีไม่มีอยู่ในเครื่อง Windows 10 ของฉัน ฉันต้องไปที่นโยบายกลุ่มท้องถิ่นต่อไปนี้และใช้การเปลี่ยนแปลงกับลูกค้าของฉัน:

การกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ -> ระบบ -> การมอบหมายหนังสือรับรอง - Oracle Remediation การเข้ารหัส

เปิดใช้งานและตั้งค่าเป็น vulnerable.

ขอแนะนำให้อัปเดตไคลเอนต์แทนสคริปต์ประเภทนี้เพียงแค่ข้ามข้อผิดพลาด แต่ด้วยความเสี่ยงของคุณเองคุณสามารถทำได้บนไคลเอนต์และไม่จำเป็นต้องรีสตาร์ทเครื่องพีซีไคลเอนต์ ยังไม่จำเป็นต้องเปลี่ยนสิ่งใดบนเซิร์ฟเวอร์

1. เปิดRunชนิดและคลิกgpedit.mscOK
2. Administrative Templatesขยายตัว
3. Systemขยายตัว
4. Credentials Delegationเปิด
5. บน pannel Encryption Oracle Remediationขวาดับเบิลคลิกที่
6. Enableเลือก
7. เลือกVulnerableจากProtection Levelรายการ

การตั้งค่านโยบายนี้ใช้กับแอปพลิเคชันที่ใช้ส่วนประกอบ CredSSP (ตัวอย่างเช่น: การเชื่อมต่อเดสก์ท็อประยะไกล)

โพรโทคอล CredSSP บางเวอร์ชันมีความเสี่ยงต่อการโจมตีด้วยออราเคิลเข้ารหัสจากไคลเอนต์ นโยบายนี้ควบคุมความเข้ากันได้กับไคลเอนต์และเซิร์ฟเวอร์ที่มีช่องโหว่ นโยบายนี้ช่วยให้คุณสามารถกำหนดระดับการป้องกันที่ต้องการสำหรับช่องโหว่การเข้ารหัสของ Oracle

หากคุณเปิดใช้งานการตั้งค่านโยบายการสนับสนุนรุ่น CredSSP จะถูกเลือกตามตัวเลือกต่อไปนี้:

บังคับให้อัปเดตไคลเอ็นต์: แอปพลิเคชันไคลเอนต์ที่ใช้ CredSSP จะไม่สามารถถอยกลับไปใช้เวอร์ชันที่ไม่ปลอดภัยและบริการที่ใช้ CredSSP จะไม่ยอมรับไคลเอ็นต์ที่ไม่ได้จับคู่ หมายเหตุ: การตั้งค่านี้ไม่ควรปรับใช้จนกว่าโฮสต์ระยะไกลทั้งหมดจะสนับสนุนเวอร์ชันใหม่ล่าสุด

บรรเทาลง: แอปพลิเคชันไคลเอนต์ที่ใช้ CredSSP จะไม่สามารถถอยกลับไปใช้เวอร์ชันที่ไม่ปลอดภัย แต่บริการที่ใช้ CredSSP จะยอมรับไคลเอ็นต์ที่ไม่ได้จับคู่ ดูลิงค์ด้านล่างสำหรับข้อมูลที่สำคัญเกี่ยวกับความเสี่ยงที่เกิดจากลูกค้าที่ยังไม่ได้จับคู่

ช่องโหว่: แอปพลิเคชันไคลเอนต์ที่ใช้ CredSSP จะเปิดเผยเซิร์ฟเวอร์ระยะไกลเพื่อโจมตีด้วยการสนับสนุนการถอยกลับไปยังเวอร์ชันที่ไม่ปลอดภัยและการบริการโดยใช้ CredSSP จะยอมรับไคลเอนต์ที่ไม่ตรงกัน

8. คลิกนำไปใช้
9. คลิกตกลง
10. เสร็จสิ้น

การอ้างอิง

ผู้ชายคนนี้มีทางออกสำหรับปัญหาที่แน่นอนของคุณ:

เป็นหลัก - คุณจะต้องเปลี่ยนการตั้งค่า GPO และบังคับการอัปเดต แต่การเปลี่ยนแปลงเหล่านี้จะต้องมีการรีบูตเพื่อให้ได้ผล

1. คัดลอกสองไฟล์เหล่านี้จากเครื่องที่อัพเดตใหม่

   • C:\Windows\PolicyDefinitions\CredSsp.admx (Dtd ถึง ก.พ. 2018)
   • C:\Windows\PolicyDefinitions\en-US\CredSsp.adml (Dtd ก.พ. 2018 - โฟลเดอร์ในเครื่องของคุณอาจแตกต่างกันเช่น en-GB)

2. บน DC ไปที่:

   • C:\Windows\SYSVOL\sysvol\<your domain>\Policies\PolicyDefinitions
   • เปลี่ยนชื่อปัจจุบันCredSsp.admxเป็นCredSsp.admx.old
   • คัดลอกใหม่CredSsp.admxไปยังโฟลเดอร์นี้

3. ใน DC เดียวกันไปที่:

   • C:\Windows\SYSVOL\sysvol\<your domain>\Policies\PolicyDefinitions\en-US (หรือภาษาท้องถิ่นของคุณ)
   • เปลี่ยนชื่อปัจจุบันCredSsp.admlเป็นCredSsp.adml.old
   • คัดลอกCredSsp.admlไฟล์ใหม่ไปยังโฟลเดอร์นี้

4. ลองนโยบายกลุ่มของคุณอีกครั้ง

https://www.petenetlive.com/KB/Article/0001433

ดังที่คนอื่น ๆ พูดกันว่าเป็นเพราะแพตช์มีนาคมที่ไมโครซอฟท์เปิดตัว พวกเขาเปิดตัว Patch เดือนพฤษภาคมในวันที่ 8 พฤษภาคมที่จริงบังคับใช้ Patch เดือนมีนาคม ดังนั้นหากคุณมีเวิร์กสเตชันที่ได้รับการแก้ไขพฤษภาคมและคุณพยายามเชื่อมต่อกับเซิร์ฟเวอร์ที่ไม่ได้รับการแก้ไขมีนาคมคุณจะได้รับข้อความแสดงข้อผิดพลาดในภาพหน้าจอของคุณ

ความละเอียดที่คุณต้องการแก้ไขเซิร์ฟเวอร์เพื่อให้พวกเขามีโปรแกรมแก้ไขมีนาคม มิฉะนั้นในระหว่างนี้คุณสามารถใช้นโยบายกลุ่มหรือแก้ไขรีจิสทรี

คุณสามารถอ่านคำแนะนำโดยละเอียดได้ในบทความนี้: วิธีแก้ไขฟังก์ชั่นตรวจสอบข้อผิดพลาดไม่รองรับ CredSSP Error RDP

คุณสามารถค้นหาสำเนาของไฟล์ ADMX และ ADML ในกรณีที่คุณต้องการค้นหา

ฉันได้รับปัญหาเดียวกัน ลูกค้าอยู่บนเซิร์ฟเวอร์ Win7 และ RDS คือ 2012R2 ลูกค้าได้รับ "2018-05 การรักษาความปลอดภัยรายเดือนที่มีคุณภาพสะสม (kb4019264)" หลังจากลบมันก็ดี

ฉันพบว่าบางส่วนของเครื่องของเราหยุดการทำงานของ Windows Update (เราเรียกใช้ WSUS ท้องถิ่นผ่านโดเมนของเรา) บางครั้งในเดือนมกราคม ฉันคาดว่าแพตช์ก่อนหน้าจะทำให้เกิดปัญหา (เครื่องจะบ่นเกี่ยวกับการล้าสมัย แต่จะไม่ติดตั้งแพทช์ Jan ที่มันบอกว่าจำเป็น) เนื่องจากการอัปเดต 1803 เราไม่สามารถใช้ Windows Update จาก MS โดยตรงเพื่อแก้ไข (หมดเวลาด้วยเหตุผลบางอย่างและการอัปเดตจะไม่ทำงาน)

ฉันสามารถยืนยันได้ว่าถ้าคุณแก้ไขเครื่องเป็นรุ่น 1803 จะมีการแก้ไขปัญหานี้ หากคุณต้องการเส้นทางที่รวดเร็วในการแก้ไขปัญหานี้ฉันใช้Windows Update Assistant (ลิงก์บนสุดที่ระบุว่า Update) เพื่อดำเนินการอัปเดตโดยตรง (ดูเหมือนจะมีเสถียรภาพมากกว่า Windows Update ด้วยเหตุผลบางประการ)

เราลบการอัปเดตความปลอดภัยล่าสุด KB410731 และเราสามารถเชื่อมต่อกับเครื่อง Window 10 ที่สร้าง 1709 และรุ่นก่อนหน้า สำหรับพีซีของเราสามารถอัปเกรดเพื่อสร้าง 1803 สิ่งนี้แก้ปัญหาได้โดยไม่ต้องถอนการติดตั้ง KB4103731

เพียงลองปิดการใช้งานNetwork Level Authenticationจาก Remote Desktop คุณช่วยกรุณาตรวจสอบภาพต่อไปนี้:

เปิด PowerShell ในฐานะผู้ดูแลและเรียกใช้คำสั่งนี้:

REG ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters\ /v AllowEncryptionOracle /t REG_DWORD /d 2

ลองตอนนี้เพื่อเชื่อมต่อกับเซิร์ฟเวอร์ มันจะทำงาน.

ฉันพบคำตอบที่นี่ดังนั้นจึงไม่สามารถอ้างสิทธิ์ได้ว่าเป็นของฉันเอง แต่เพิ่มคีย์ต่อไปนี้ในรีจิสตรีของฉันและรีสตาร์ทเพื่อแก้ไขให้ฉัน

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
"AllowEncryptionOracle"=dword:00000002