После обновления безопасности, которое было выпущено после мая 2018 года, при попытке подключиться к RDP серверу (удаленному рабочему столу) пользователи могут столкнуться с ошибкой CredSSP encryption oracle remediation. В каких случаях может возникнуть эта проблема:
- Вы подключаетесь к удаленному рабочему столу компьютера с недавно установленной старой (например, RTM) версией Windows (например, Windows 10 ниже билда 1803, Windows Server 2012 R2, Windows Server 2016), на котором не установлены последние обновления безопасности Windows;
- Вы пытаетесь подключиться к RDP компьютеру, на который давно не устанавливали обновления Microsoft;
- RDP подключение блокирует удаленный компьютер, т.к. нет нужных обновлений безопасности на вашем клиентском компьютере.
Видео по теме
Попробуем разобраться с тем, что означает RDP ошибка CredSSP encryption oracle remediation и как ее можно исправить.
Итак, при попытке подключения к приложению RemoteApp на RDS серверах под Windows Server 2016 / 2012 R2 / 2008 R2, или к удаленным рабочим столам других пользователей по протоколу RDP (на Windows 10, 8.1 или 7), появляется ошибка:
Remote Desktop connection
An authentication error has occurred.
The function is not supported.
Remote Computer: hostname
This could be due to CredSSP encryption oracle remediation.
Подключение к удаленному рабочему столу
Произошла ошибка при проверке подлинности.
Указанная функция не поддерживается.
Причиной ошибки может быть исправление шифрования CredSSP.
Данная ошибка связана с тем, что на Windows Server или на обычной десктопной версии Windows, к которой вы пытаетесь подключится по RDP, не устанавлены обновления безопасности Windows (как минимум с марта 2018 года).
В марте 2018 Microsoft выпустила обновление, закрывающее возможность удаленного выполнения кода с помощью уязвимости в протоколе CredSSP (Credential Security Support Provider). В мае 2018 было опубликовано дополнительное обновление, в котором по-умолчанию клиентам Windows запрещается подключаться к удаленным RDP серверам с уязвимой версией протокола CredSSP.
Таким образом, если вы на RDS/RDP серверах (компьютерах) Windows с марта 2018 года не устанавливались накопительные обновления безопасности, а на RDP клиентах установлены майские обновления (или более новые), то на них при попытке подключится к RDS серверам с непропатченной версией CredSSP будет появляется ошибка о невозможности подключения: This could be due to CredSSP encryption oracle remediation.
Ошибка RDP клиента появляется после установки следующих обновлений безопасности:
- Windows 7 / Windows Server 2008 R2 — KB4103718
- Windows 8.1 / Windows Server 2012 R2 — KB4103725
- Windows Server 2016 — KB4103723
- Windows 10 1803 — KB4103721
- Windows 10 1709 — KB4103727
- Windows 10 1703 — KB4103731
- Windows 10 1609 — KB4103723
Для восстановления удаленного подключения к рабочему столу можно удалить обновления безопасности на клиенте, с которого выполняется RDP подключение (но это крайне не рекомендуется, т.е. есть более безопасное и правильное решение).
Для решения проблемы вы можете временно на компьютере-клиенте, с которого вы подключаетесь по RDP, отключить проверку версии CredSSP на удаленном компьютере. Это можно сделать через редактор локальных групповых политик.
- Запустите редактор локальных GPO — gpedit.msc;
- Перейдите в раздел политик Computer Configuration -> Administrative Templates -> System -> Credentials Delegation (Конфигурация компьютера -> Административные шаблоны -> Система -> Передача учетных данных);
- Найдите политику с именем Encryption Oracle Remediation (Исправление уязвимости шифрующего оракула). Включите политику (Enabled/ Включено), а в качестве параметра в выпадающем списке выберите Vulnerable / Оставить уязвимость;
- Осталось обновить политики на вашем компьютере (команда
gpupdate /force) и попробовать подключится по RDP к удаленному компьютеру. При включенной политике Encryption Oracle Remediation со значением Vulnerable ваши терминальные приложения с поддержкой CredSSP смогут подключаться даже к RDS/RDP серверам и компьютерам Windows, на которых отсутствуют актуальные обновления безопасности.
Политика Encryption Oracle Remediation предлагает 3 доступных значения защиты от CredSSP уязвимости:
- Force Updated Clients — самый высокий уровень защиты, когда RDP сервер запрещает подключение не обновлённым клиентам. Обычно эту политику стоит включать после полного обновления всей инфраструктуры и интеграции актуальных обновлений безопасности в установочные образы Windows для серверов и рабочих станций;
- Mitigated – в этом режиме блокируется исходящее удаленное RDP подключение к RDP серверам с уязвимой версией CredSSP. Однако другие службы, использующие CredSSP работаю нормально;
- Vulnerable –самый низкий уровень зашиты, когда разрешается подключение к RDP сервера с уязвимой версией CredSSP.
Если у вас отсутствует редактор локальных GPO (например, в Home редакциях Windows), вы можете внести изменение, разрешающее RDP подключение к серверам с непропатченной версия CredSSP, напрямую в реестр с помощью команды:
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
Вы можете изменить этот параметр в реестре сразу на множестве компьютеров в AD с помощью доменной GPO (консоль gpmc.msc) или таким PowerShell скриптом (список компьютеров в домене можно получить с помощью командлета Get-ADComputer из модуля >RSAT-AD-PowerShell):
Import-Module ActiveDirectory
$PSs = (Get-ADComputer -Filter *).DNSHostName
Foreach ($computer in $PCs) {
Invoke-Command -ComputerName $computer -ScriptBlock {
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
}
}
После успешного подключения к удаленному RDP серверу (компьютеру) нужно установить на нем актуальные обновления безопасности через службу Windows Update (проверьте, что служба включена) или вручную. Скачайте и установите последние кумулятивные обновления Windows как показано выше.
Для Windows XP/ Windows Server 2003, которые сняты с поддержки нужно установить обновления для Windows Embedded POSReady 2009. Например, https://support.microsoft.com/en-us/help/4056564
После установки обновлений и перезагрузки сервера, не забудьте отключить политику на клиентах (либо выставить ее на Force Updated Clients), или вернуть значение 0 для ключа реестра AllowEncryptionOracle. В этом случае, ваш компьютер не будет подвержен риску подключения к незащищенным хостам с CredSSP и эксплуатации уязвимости.
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0 /f
Есть еще один сценарий, когда обновления отсутствуют на вашем компьютере. Например, RDP сервер обновлен, но на нем выставлена политика, блокирующая RDP подключения с компьютеров с уязвимой версией CredSSP (Force Updated Clients). В этом случае при RDP подключении вы также увидите ошибку “This could be due to CredSSP encryption oracle remediation”.
Проверьте последнюю дату установки обновлений Windows на вашем компьютере с помощью модуля PSWindowsUpdate или через WMI команду в консоли PowerShell:
gwmi win32_quickfixengineering |sort installedon -desc
В этом примере видно, что последние обновления безопасности Windows устанавливалось 17 июня 2018 года. Скачайте и установите более новый MSU файл с кумулятивным обновлением для вашей редакции Windows (смотрите выше).
Любой пользователь компьютера возможно столкнулся с разнообразными ошибками, мешающими ему работу на своём устройстве. Одной из таких проблем является ошибка credssp. Она может вызывать проблемы в процессе удалённого подключения к компьютеру или серверу.
Атаки credssp являются самыми распространёнными попытками извлечения необходимых данных, паролей, доступа к удалённым компьютерам и серверам. Таким образом, возникающая ошибка может свидетельствовать о множестве опасных процессов на устройстве, защищающем конфиденциальные данные.
В данной статье мы рассмотрим, что такое ошибка credssp, как она может повлиять на вашу работу и как её можно исправить, чтобы сохранить безопасность доступа к устройствам и защитить свою информацию.
Содержание
- Как защититься от атак credssp?
- Что такое CredSSP?
- Какая проблема может возникнуть?
- Как решить проблему ошибки credssp в Windows?
- Как предотвратить атаку credssp?
- Вопрос-ответ
- Что такое атака credssp?
- В чем заключается проблема защиты от атак credssp?
- Каковы последствия ошибки при использовании защиты от атак credssp?
- Как решить проблему с защитой от атак credssp?
- Какие еще могут быть проблемы при использовании защиты от атак credssp?
Как защититься от атак credssp?
Атака credssp может вызвать множество проблем в системе, и, в частности, привести к ошибке в Windows Remote Desktop. Она происходит, когда злоумышленник перехватывает данные при передаче информации между клиентом и сервером.
Одним из способов защиты от атак является использование HTTPS протокола при соединении с удаленным сервером. Это позволит защитить передаваемую информацию и избежать возможности перехвата данных.
Также необходимо регулярно обновлять систему, чтобы установить все необходимые патчи и исправления, которые могут устранить уязвимости и предотвратить возможные атаки.
- Другие рекомендации:
- — Использовать сложные пароли и обновлять их регулярно
- — Выбирать только надежные и проверенные соединения
- — Использовать специальные программы для защиты от атак и мониторинга соединения
Стоит помнить, что атаки credssp могут быть очень опасными, поэтому необходимо принимать все необходимые меры для защиты вашей системы от таких атак.
Что такое CredSSP?
CredSSP (Credential Security Support Provider) — это механизм аутентификации, который используется для соединения между клиентом и сервером в Windows. Это обеспечивает защиту от перехвата данных и обеспечивает конфиденциальность связи.
Он используется в различных сценариях, включая удаленное управление, соединение с удаленными рабочими столами и виртуальными машинами, а также для обеспечения безопасной связи между приложениями и серверами.
CredSSP использует криптографические протоколы, такие как NTLM и Kerberos, чтобы зашифровать данные и обеспечить безопасность соединения. Он также используется для аутентификации пользователя на удаленном сервере при использовании удаленного рабочего стола.
- CredSSP обеспечивает следующие преимущества:
- Безопасность данные: перехват данных между клиентом и сервером невозможен.
- Идентификация: пользователю необходимо предоставить учетную запись пользователя и пароль для получения доступа к системе.
- Ограниченный доступ: вы можете установить уровень доступа пользователей к системе в соответствии с их уровнем полномочий.
Какая проблема может возникнуть?
При использовании базовой аутентификации credssp могут возникнуть проблемы безопасности, например, возможность выполнения удаленного кода через уязвимости в протоколе.
Кроме того, при атаке на credssp может возникнуть ошибка, когда клиент и сервер не могут установить безопасное соединение и происходит отказ в соединении.
Решить проблему можно путем обновления операционной системы и установки последних обновлений безопасности, отключения базовой аутентификации credssp на клиентских или серверных компьютерах или введения механизма многофакторной аутентификации.
Необходимо также следить за обновлениями безопасности и своевременно устанавливать все патчи и исправления.
Как решить проблему ошибки credssp в Windows?
Ошибка credssp может возникнуть при попытке установить удаленное соединение или подключение к удаленному компьютеру в Windows. При этом возможна блокировка доступа к удаленному устройству, что может серьезно затруднить работу пользователя.
Если вы столкнулись с подобной проблемой, то есть несколько вариантов ее решения. Первым шагом можно попробовать обновить Windows и установить все необходимые патчи и обновления. В некоторых случаях это может помочь решить проблему.
Если обновления не помогли, то следует проверить настройки групповых политик. Возможно, нужно изменить настройки безопасности для учетных записей или ресурсов, доступ к которым был заблокирован из-за ошибки credssp.
Еще одним вариантом решения проблемы может быть отключение CredSSP на удаленных машинах. Для этого нужно зайти в реестр и изменить настройки CredSSP на значении 0 или добавить наличие рабочей группы на обеих машинах.
Если же эти действия не привели к результату, то стоит попробовать использовать другую программу для удаленного соединения или обратиться к специалисту за помощью.
Как предотвратить атаку credssp?
Атака credssp – это серьезная угроза для безопасности вашей системы. Чтобы избежать ее последствий, следует принять несколько мер:
- Обновляйте операционную систему. Microsoft и другие производители операционных систем выпускают регулярные обновления, которые содержат исправления уязвимостей безопасности.
- Используйте антивирусное программное обеспечение. Антивирусная программа может обнаруживать и блокировать попытки взлома вашего компьютера.
- Не открывайте подозрительные письма. Атаки credssp обычно осуществляются через электронную почту. Если вы не знаете отправителя или подозреваете, что письмо может содержать вирус, не открывайте его и не кликайте на ссылки внутри.
- Используйте сильные пароли. Никогда не используйте простые пароли, такие как 123456 или qwerty, и не используйте один и тот же пароль для разных учетных записей. Различные учетные записи должны иметь уникальные, сложные пароли.
Соблюдение этих простых правил поможет предотвратить атаку credssp и защитить вашу систему от хакеров и злоумышленников.
Вопрос-ответ
Что такое атака credssp?
Атака credssp (Credential Security Support Provider) — это атака, которая используется для получения доступа к удаленному компьютеру. Эта атака порождается использованием уязвимостей в протоколе авторизации и управления учетными записями.
В чем заключается проблема защиты от атак credssp?
Проблема заключается в том, что некоторые обновления безопасности могут привести к ошибке при попытке подключения к удаленному компьютеру. Эта проблема связана с изменениями в конфигурации политики безопасности, в частности, с активацией параметра «Защита от атак credssp» через GPO.
Каковы последствия ошибки при использовании защиты от атак credssp?
Эта ошибка может привести к тому, что вы не сможете подключиться к удаленному серверу или рабочей станции. Это может привести к проблемам с выполнением удаленных задач и администрированию системы.
Как решить проблему с защитой от атак credssp?
Существует несколько способов решения этой проблемы. Один из них заключается в отключении защиты от атак credssp в локальных настройках безопасности, однако это может быть опасным. Более безопасным способом является обновление управляющего компьютера и удаленного компьютера и активация режима «уравнивания» защиты от атак credssp.
Какие еще могут быть проблемы при использовании защиты от атак credssp?
Также возможна проблема, связанная с обновлением Remote Desktop Protocol (RDP) до версии 8.1. В этом случае потребуется обновление удаленного компьютера до версии RDP 8.1 или выше.
Материал из Wiki — Iphoster — the best ever hosting and support. 2005 — 2023
Перейти к:навигация, поиск
Windows 10 — RDP — Произошла ошибка проверки подлинности — Причиной может быть защита от атак с использованием криптографического оракула CredSSP
Ошибка при подключении по RDP к Windows Server:
произошла ошибка проверки подлинности указанная функция не поддерживается Причиной может быть защита от атак с использованием криптографического оракула CredSSP
Решение на стороне клиента — разрешить подключение к Windows серверам по RDP с небезопасной версией CredSSP:
ПУСК --> Windows Power Shell --> Windows Power Shell и правой кнопки мыши нажимаем "Запуск от имени администратора" Вносим изменения в реестр Windows с помощь команды REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
После этого проверяем подключение через Удаленный рабочий стол к серверу Windows Server с небезопасной версией CredSSP
После того, как компания Microsoft 08 мая 2018 года выпустила апдейты безопасности, многие пользователи Windows столкнулись с невозможностью подключения к удаленному рабочему столу. Если раньше осуществить это не представляло трудности, то теперь появляется сообщение о том, что данная функция не осуществима. Итак, сегодня мы обсудим, как решить проблемы подключения, если система сообщает нам, что причиной ошибки может быть исправление шифрования CredSSP.
Содержание
- Почему появляется эта ошибка
- Как решить ошибку в протоколе CredSSP
- Установка обновлений
- Отключение уведомлений через редактор локальной групповой политики
- Что делать, если в ОС нет параметра “Исправление уязвимости шифрующего оракула”?
- Как контролировать установку обновлений на предприятии
Почему появляется эта ошибка
Давайте подробно разберемся, почему же возникает данная ошибка. Дело в том, что март 2018 года ознаменовался выпуском Microsoft апдейта, который запретил подключение к удаленным рабочим столам (RDP-серверам), т.к. в протоколе CredSSP были обнаружены уязвимые места. И, если на ОС Windows, установленную на нашем компьютере, автоматически не инсталлировались мартовские обновления, то с мая 2018 года подключение по RDP оказалось совсем невозможным. Причиной этого стал полный запрет по умолчанию, вследствие которого пользователи не могут подключиться к удаленному рабочему столу со старой версии протокола CredSSP. На экране появляется такое сообщение.
Итак, что же нужно сделать, чтобы исправить эту ошибку?
Как решить ошибку в протоколе CredSSP
Те, кто уже столкнулся с последствиями внедрения актуальных обновлений от Microsoft, советуют поступить следующим образом. Нужно:
- Инсталлировать с официального сайта нужную версию обновления CVE-2018-0886, подобрав ее под свою ОС Windows.
- Если не получается пропатчить протокол CredSSP, то просто отключить уведомления об ошибке шифрования.
Второй метод не рекомендуется, т.к. проблему «Причиной ошибки может быть исправление шифрования CredSSP» не решает, но может помочь временно не получать уведомления об ошибке и поэтому набирает популярность в среде пользователей.
Первое, что нужно сделать – включить ручной режим в установке обновлений. Затем, что бы вы ни делали, чтобы на время отключить уведомления об ошибке, апдейты все же нужно инсталлировать, иначе так и не получится подключиться к удаленному рабочему столу.
Установка обновлений
Под каждую версию ОС Windows выпущено свое обновление, которое и нужно установить из каталога ЦО Microsoft. Ниже находим нужную версию CVE-2018-0886 для своей операционной системы:
KB4103721 — Windows 10 1803, Server 2016 1803.
KB4103727 — Windows 10 1709, Server 2016 1709.
KB4103731 — Windows 10 1703, Server 2016 1703.
KB4103723 — Windows 10 1607, Server 2016 1607, Server 2016.
KB4103728 — Windows 10 1511, Server 2016 1511.
KB4103716 — Windows 10.
KB4103715 — Windows 8.1, Server 2012 R2, Server 2012.
KB4103712 — Windows 7, Server 2008 R2.
Кликаем на название своей ОС и скачиваем нужный патч.
Отключение уведомлений через редактор локальной групповой политики
Открываем редактор локальной групповой политики через ввод в строке “Выполнить” команды gpedit.msc. Перед нами появляется такое окно.
- Далее проходим путь “Конфигурация компьютера” –> “Административные шаблоны” –> “Система” –> “Передача учетных данных”.
- Ищем параметр “Исправление уязвимости шифрующего оракула” и переводим его в состояние “ВКЛ”.
- Задаем уровень защиты “Оставить уязвимость”.
- Все, перезагружаем устройство и пробуем подключиться к удаленному рабочему столу.
Что делать, если в ОС нет параметра “Исправление уязвимости шифрующего оракула”?
- В этом случае в реестре прописываем нужные параметры вручную.
- В строке “Выполнить” набираем команду regedit.
- В открывшемся редакторе реестра проходим по пути HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters.
- Здесь ищем параметр DWORD под именем AllowEncryptionOracle и присваиваем ему значение 2.
- Если этого параметра нет в нашей Windows, то создаем его.
- Обязательно перезагружаем устройство и продолжаем работу.
Можно пойти другим путем:
- Открыть командную строку от имени администратора.
- Ввести REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2.
- Подтвердить действие.
- Поставить компьютер на перезагрузку.
При помощи данной команды мы вносим изменения в реестр, что разрешает нашему устройству подключаться по протоколу CredSSP.
Как контролировать установку обновлений на предприятии
Для того, чтобы инсталлировать актуальные обновления сразу на всех локальных устройствах предприятия, на сервере необходимо иметь программу WSUS. С ее помощью происходит контроль за установленными апдейтами, корректная инсталляция которых отражается в получаемых отчетах.
Каковы бы ни были пути обхода блокировки подключения к удаленному рабочему столу, эта мера временная. Для бесперебойной работы предприятия нужно постоянно следить за выпуском обновлений и вовремя их устанавливать.
Прежде чем показать вам известные мне способы устранения, я хотел бы как обычно подробно описать ситуацию. Вчера, когда я попытался подключиться к своему рабочему компьютеру под управлением Windows 10 1709 из таблицы терминалов, которая является частью фермы RDS на Windows Server 2012 R2, я получил сообщение об ошибке после ввода логина и пароля:
Произошла ошибка аутентификации. Запрошенная функция не поддерживается. Имя удаленного компьютера. Это должно быть для восстановления шифрования Oracle CredSSP.
Ну и конечно в русской версии:
Произошла ошибка во время аутентификации. Указанная функция не поддерживается. Имя удаленного компьютера. Исправление шифрования CredSSP может быть причиной ошибки
Получается двойная ситуация, что RDP вроде работает, но по какой-то причине ваши учетные данные на принимающей стороне не соответствуют некоторым критериям, выясняем, что это за зверюга CredSSP.
Назначение CredSSP
Что такое CredSSP – это Win32 API, используемый системами Microsoft Windows для выполнения различных операций, связанных с безопасностью, таких как аутентификация. SSPI работает как общий интерфейс для нескольких поставщиков поддержки безопасности (SSP). Поставщик поддержки безопасности – это библиотека динамической компоновки (DLL), которая делает один или несколько пакетов безопасности доступными для приложений.
СredSSP позволяет приложению делегировать учетные данные пользователя от клиента на целевой сервер для удаленной аутентификации. CredSSP обеспечивает зашифрованный протокол безопасности транспортного уровня. Клиент аутентифицируется по зашифрованному каналу с использованием простого и безопасного согласования (SPNEGO) с Microsoft Kerberos или Microsoft NTLM.
После аутентификации клиента и сервера клиент передает на сервер учетные данные пользователя. Учетные данные шифруются дважды с использованием ключей сеанса SPNEGO и TLS. CredSSP поддерживает вход на основе пароля и вход со смарт-картой на основе X.509 и PKINIT.
Подробнее о Microsoft https://docs.microsoft.com/en-us/windows/desktop/secauthn/credential-security-support-provider
Поставщик общих служб Windows
Следующие SSP устанавливаются вместе с Windows:
- NTLM (введено в Windows NT 3.51) (msv1_0.dll) – обеспечивает проверку подлинности запроса / ответа NTLM для доменов клиент / сервер до Windows 2000 и проверку подлинности вне домена (SMB / CIFS).
- Kerberos (введен в Windows 2000 и обновлен в Windows Vista для поддержки AES) (kerberos.dll). Предпочтительно для взаимной аутентификации домена клиент / сервер в Windows 2000 и более поздних версиях.
- Согласование (введено в Windows 2000) (secur32.dll): выберите Kerberos и, если он недоступен, протокол NTLM. SSP обеспечивает функцию единого входа, иногда называемую встроенной проверкой подлинности Windows (особенно в контексте IIS). Windows 7 и более поздние версии представляют NEGOExts, который согласовывает использование установленных настраиваемых SSP, поддерживаемых на клиенте и сервере для аутентификации.
- Безопасный канал (также известный как SChannel) – введен в Windows 2000 и обновлен в Windows Vista и более поздних версиях для поддержки более надежного шифрования AES и ECC. Этот провайдер использует записи SSL / TLS для шифрования полезной нагрузки. (Schannel.dll)
- Реализация TLS / SSL в Microsoft PCT (устаревшая) – это шифрование SSP с открытым ключом, которое обеспечивает безопасную связь и шифрование для аутентификации клиентов и серверов в Интернете. Обновлено в Windows 7 для поддержки TLS 1.2.
- SSP Digest (введено в Windows XP) (wdigest.dll) – обеспечивает аутентификацию на основе запросов / ответов HTTP и SASL между системами Windows и другими системами, в которых протокол Kerberos недоступен.
- Учетные данные (CredSSP) (введены в Windows Vista и доступны в Windows XP SP3) (credssp.dll) – обеспечивает аутентификацию на уровне сети и SSO для служб удаленных рабочих столов.
- Распределенная аутентификация по паролю (DPA) – (введена в Windows 2000) (msapsspc.dll) – обеспечивает аутентификацию через Интернет с использованием цифровых сертификатов.
- Шифрование открытого ключа между пользователями (PKU2U) (введено в Windows 7) (pku2u.dll) – обеспечивает одноранговую аутентификацию с использованием цифровых сертификатов между системами, которые не являются частью домена.
Подробнее на https://en.wikipedia.org/wiki/Security_Support_Provider_Interface
Причины ошибки шифрования CredSSP
В марте 2018 года Microsoft выпустила обновление безопасности для устранения уязвимостей для протокола поставщика поддержки безопасности учетных данных (CredSSP) CVE-2018-0886 (https://support.microsoft.com/en-us/help/4093492/credssp -updates- for-cve-2018-0886-march-13-2018), используемый соединениями по протоколу удаленного рабочего стола (RDP) для клиентов Windows и Windows Server. Как только пользователи и системные администраторы установили обновления, во всем мире начались массовые жалобы на то, что люди не могут подключиться через RDP к серверам, компьютерам, получая ошибку, что причиной ошибки могло быть шифрование CredSSP.
К сожалению, 99% людей и администраторов совершают ту же ошибку, сразу устанавливая обновления, не дожидаясь пары дней после выпуска. Этого времени обычно достаточно, чтобы поставщик смог выявить проблемы и собрать неисправное обновление.
Уязвимость в Credential Security Support Provider (CredSSP – Credential Security Provider) позволила удаленно выполнить произвольный код в уязвимой системе, а 8 мая 2018 года Microsoft изменила уровень безопасности соединения с Vulnerable на Mitigated и инициировала проблемы с подключением RDP к удаленному рабочему столу. Раньше можно было удаленно подключаться с обновленной машины к машинам без обновления безопасности, так сказать в мягком режиме. Однако с последним обновлением Microsoft усилила безопасность, и теперь невозможно подключиться к компьютерам без обновления исправления CVE-2018-0886.
Буквально все упало в развертывание клиентской операционной системы Windows 7, Windows 8.1, Windows 10, из которой были предприняты попытки подключиться к ферме RDS или приложениям RemoteApp, работающим на Windows Server 2008 R2 и новее. Если вы прочитаете эту ветку в наши дни, вы поймете все возмущение людей, особенно Запада.
Варианты исправления ошибки CredSSP
На самом деле вариантов много, есть правильные, есть временные и альтернативные решения, которые нужно делать быстро, чтобы хоть как-то работало, так как компания прямо сейчас может бездействовать и терять деньги.
- Вы можете удалить новое обновление безопасности, худший вариант, но в критические моменты его иногда используют для переноса работы на вечер или ночь
- Если вам нужно быстро получить доступ к серверу и избежать аутентификации credssp, я рекомендую вам отключить флажок NLA (Network Level Authentication) на подключении к принимающему серверу в русской версии «Разрешить подключения только с компьютеров, на которых запущен удаленный рабочий стол с аутентификацией в сети уровень”
- Тот же быстрый метод массового внедрения – использование групповой политики, которая изменит шифрование Oracle Remediation
- Хороший самый правильный метод, это для установки обновлений на все ваши системы
Отключаем credssp в Windows через NLA
Я бы рассмотрел этот способ выхода из ситуации как быстрое и временное решение перед установкой обновлений безопасности. Чтобы разрешить удаленное подключение к серверу и избежать ситуации, когда произошла ошибка аутентификации credssp, сделайте следующее. Откройте свойства моего компьютера, попав в систему, вы также можете одновременно нажать WIN + Pause Breake или ввести control / name Microsoft.System в командной строке. В окне «Система» находим пункт меню «Настройки удаленного доступа”
Снимите флажок «Разрешать подключения только с компьютеров, на которых запущен удаленный рабочий стол с проверкой подлинности на уровне сети”
После этого вы без проблем сможете подключиться к этому компьютеру или серверу, но что поделаешь, что не можешь попасть и снять эту галку, тогда реестр Windows придет нам на помощь. Вы можете удаленно создать необходимые ключи реестра, которые отключат флажок NLA или политику CredSSP. Для этого можно поступить двумя способами:
- Используйте сетевой журнал Windows
- Используйте удаленное управление компьютером, например PsExec.exe, я уже показал вам, как удаленно открывать порты в брандмауэре.
Попробуем через удаленный реестр, открыв Regedit через окно «Выполнить”.
В меню «Файл» выберите «Подключить сетевой журнал», затем найдите нужный сервер.
У вас будет дополнительный журнал, связанный с двумя ульями. Следуйте по пути (если у вас нет CredSSP \ Parameters, вам нужно будет их создать):
HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters\
Здесь вам нужно создать ключ REG_DWORD с именем AllowEncryptionOracle и значением 2. В этом случае политика CredSSP установит уровень Vulnerable – это самый низкий уровень безопасности. Это позволит вам подключаться к серверам удаленно по протоколу RDP. Однако это подвергнет серверы атаке.
Или вы также можете отключить NLA, для этого найдите ключ реестра:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStation \ RDP-Tcp
Найдите там ключ SecurityLayer и установите для него значение 0, чтобы отключить аутентификацию на уровне сети.
Теперь то же самое можно сделать через PsExec.exe, установив минимальный уровень безопасности для CredSSP, либо отключить NLA, для этого, находясь в cmd в режиме администратора, введите команду:
PsExec.exe \\ w10-cl01 -u root \ Administrator -p пароль cmd
w10-cl01 – это имя компьютера.
Затем, запустив сеанс cmd для удаленного компьютера, выполните команду:
REG ADD HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters \ / v AllowEncryptionOracle / t REG_DWORD / d 2 (0 вернет все как было)
То же самое можно сделать и для отключения аутентификации на сетевом уровне, команда будет выглядеть так:
REG ADD “HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ WinStation \ RDP-Tcp” / v SecurityLayer / t REG_DWORD / d 0
Опять же обращаю ваше внимание на то, что этот способ временный и наиболее опасный, применяется в тех случаях, когда вы не можете делать что-либо или дольше, но он вам уже нужен вчера, обязательно установите все необходимые обновления.
Отключаем шифрование credssp через GPO
Если у вас большая инфраструктура с сотнями компьютеров и сотнями серверов, вы можете временно отключить новый уровень шифрования CredSSP и удалить ошибку «Имя удаленного компьютера. Исправление шифрования CredSSP» перед установкой необходимых обновлений вечером. Для этого мы можем воспользоваться всеми преимуществами доменной инфраструктуры Active Directory. Есть два варианта: вы можете создать групповую политику, чтобы распространить ее среди необходимых организационных единиц, или, если у вас есть один или два локальных компьютера, вы можете запустить на них редактор локальной групповой политики, тем самым внося изменения только в них.
Напоминаю, что вы можете найти оснастку «Управление групповой политикой» на контроллере домена или компьютере с установленным RSAT, открыть ее можно с помощью команды в окне «Выполнить gpmc.msc». Если вы хотите открыть редактор локальной групповой политики, введите gpedit.msc в окне «Выполнить.
Вам нужно перейти в ветку:
Конфигурация компьютера – Административные шаблоны – Система – Делегирование учетных данных – Oracle Remediation Encryption
Откройте настройку «Oracle Remediation Encryption». Включаем политику, включена опция «Уровень защиты», на выбор будет три варианта:
- Принудительно обновлять клиентов – он будет активен по умолчанию из-за максимального уровня безопасности, вам нужно изменить эту опцию. Это как бы самый безопасный уровень взаимодействия с клиентом, в идеале он должен быть после установки обновлений на всех серверах и компьютерах.
- Оставить уязвимым: клиенты могут подключаться к уязвимым машинам.
- Смягчено: клиенты не могут подключаться к уязвимым серверам, но серверы могут принимать уязвимых клиентов.
Давайте на время выберем «Оставить уязвимым (Vulnerable)». Сохраним настройки.
Затем вам нужно обновить политику, для этого откройте командную строку и введите gpupdate / force. Если у вас нет компьютера домена, а также Windows 10 Home, в которой нет встроенного редактора локальной политики, то, как описано выше, вам необходимо отредактировать реестр
REG ADD HKLM \ Software \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters \ / v AllowEncryptionOracle / t REG_DWORD / d 2 (0 вернет все как было)
В Интернете запущен сценарий PowerShell, позволяющий включить эту политику на всех компьютерах в Active Directory
Модуль импорта ActiveDirectory
$ PSs = (Get-ADComputer -Filter *). DNSHostName
Foreach ($ компьютер на $ ПК) {
Recall-Command -ComputerName $ computer -Script Block {
REG ADD HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters / v AllowEncryptionOracle / t REG_DWORD / d 2
}
}
Самый правильный метод, это установка обновлений
Когда вам удалось подключиться в любом месте и пришло время исправить ваши серверы, мы быстро устанавливаем обновления, чтобы восполнить пробел (CVE-2018-0886 | CredSSP Remote Code Execution Vulnerability).
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2018-0886
Раньше такие КБ существовали, но со временем их количество может меняться, поэтому перейдите по ссылке выше, так будет надежнее.
- Windows Server 2012 R2 / Windows 8: KB4103715
- Windows Server 2008 R2 / Windows 7: KB4103712
- Windows Server 2016 / Windows 10 1607 – KB4103723
- Windows Server 2016 / Windows 10 1703 – KB4103731
- Windows Server 2016 / Windows 10 1709 – KB4103727
- Windows Server 2016 / Windows 10 1803 – KB4103721