RDP Kimlik Doğrulama Hatası: CredSSP Şifreleme Oracle Düzeltme

Mayıs 2018'den sonra yayınlanan Windows güvenlik güncellemelerini yükledikten sonra, aşağıdaki durumlarda uzak Windows sunucusuna veya bilgisayara RDP bağlantısı sırasında CredSSP şifreleme kehaneti düzeltme hatasıyla karşılaşabilirsiniz:

• Yakın zamanda yüklenmiş eski bir Windows sürümüne (örneğin, Windows 10 RTM veya derleme 1709 veya daha eski sürümler, Windows Server 2012 R2, Windows Server 2016) sahip bir bilgisayarın uzak masaüstüne bağlanmaya çalışıyorsunuz. kurulu değil;

• Uzun süredir Microsoft güncellemelerinin yüklenmediği bir bilgisayara RDP üzerinden bağlanmaya çalışıyorsunuz;

• Uzak bilgisayar, bilgisayarınızda gerekli güvenlik güncelleştirmeleri eksik olduğundan RDP bağlantısını engelledi.

CredSSP şifreleme kehaneti iyileştirme RDP hatasının ne anlama geldiğini ve nasıl düzeltileceğini anlamaya çalışalım.

Bu nedenle, Windows Server 2016/2012 R2/2008 R2 çalıştıran RDS sunucularındaki RemoteApp'e veya RDP protokolünü kullanan diğer kullanıcıların uzak masaüstlerine (Windows 10, 8.1 veya 7'de) bağlanmaya çalışırken bir hata görünür:

Bu hata, Windows güvenlik güncellemelerinin (en azından Mart 2018'den beri) RDP aracılığıyla bağlanmaya çalıştığınız uzak Windows örneğine yüklenmemesi nedeniyle oluşur.

Mart 2018'de Microsoft, CredSSP (Kimlik Bilgileri Güvenliği Destek Sağlayıcısı) protokolündeki (bulletin CVE-2018-0886) bir güvenlik açığını kullanarak uzaktan kod yürütülmesini engelleyen güncellemeler yayınladı. Mayıs 2018'de, varsayılan olarak Windows istemcilerinin CredSSP protokolünün savunmasız (yamasız) bir sürümüyle uzak RDP sunucularına bağlanmasını önleyen ek bir güncelleştirme yayınlandı.

Bu nedenle, Windows RDS/RDP sunucularınıza (bilgisayarlarınıza) Mart 2018'den beri toplu güvenlik güncelleştirmeleri yüklemediyseniz ve RDP istemcilerine Mayıs 2018 güncelleştirmeleri (veya daha yenisi) yüklendiyse, yama uygulanmamış bir RDS sunucularına bağlanmaya çalıştığınızda CredSSP sürümünde bir hata görünüyor: Bunun nedeni CredSSP şifreleme kehaneti iyileştirmesi olabilir.

İstemcilerdeki RDP hatası, aşağıdaki güvenlik güncelleştirmeleri yüklendikten sonra görünür:

• Windows 7/Windows Server 2008 R2 — KB4103718

• Windows 8.1/Windows Server 2012 R2 — KB4103725

• Windows Server 2016 — KB4103723

• Windows 10 1803 — KB4103721

• Windows 10 1709 — KB4103727

• Windows 10 1703 — KB4103731

• Windows 10 1609 — KB4103723

windows 10 1803 x64 8/*/2019

Uzak masaüstü bağlantısını geri yüklemek için, belirtilen güvenlik güncellemesini uzak bilgisayarda kaldırabilirsiniz (ancak önerilmez ve bunu yapmamalısınız, daha güvenli ve doğru bir çözüm var).

Bağlantı sorununu çözmek için, RDP aracılığıyla bağlandığınız bilgisayarda CredSSP sürüm kontrolünü geçici olarak devre dışı bırakmanız gerekir. Bu, yerel Grup İlkesi düzenleyicisi kullanılarak yapılabilir.

1. Yerel GPO düzenleyicisini çalıştırın: gpedit.msc;

2. GPO bölümüne gidin Bilgisayar Yapılandırması -> Yönetim Şablonları -> Sistem -> Kimlik Bilgileri Delegasyonu;
   

   

3. Encryption Oracle Remediation adlı politikayı bulun, politikayı etkinleştirin ve Koruma seviyesini Hassas olarak ayarlayın;

   

4. Bilgisayardaki ilke ayarını güncelleyin (çalıştırın

   gpupdate /force

   komutu) ve uzak sunucuya RDP aracılığıyla bağlanmayı deneyin. Oracle Düzeltme Şifreleme politikası Güvenlik Açığı olarak ayarlandığında, CredSSP desteğine sahip istemci uygulamaları yama uygulanmamış RDS/RDP uç noktalarına bile bağlanabilecektir.

Yerel bir GPO düzenleyiciniz yoksa (örneğin, Windows Home sürümlerinde), CredSSP'nin yamasız sürümüne sahip sunuculara RDP bağlantısına izin veren doğrudan bir kayıt defteri değişikliği yapabilirsiniz:

REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2

Bir etki alanı GPO'su veya böyle bir PowerShell betiği kullanarak AD'deki birden çok bilgisayarda AllowEncryptionOracle kayıt parametresini değiştirebilirsiniz (RSAT-AD-PowerShell modülünden Get-ADComputer cmdlet'ini kullanarak etki alanındaki bilgisayarların bir listesini alabilirsiniz):

$computers = (Get-ADComputer -Filter *).DNSHostName
Foreach ($computer in $computers) {
Invoke-Command -ComputerName $computer -ScriptBlock {
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
}
}

Uzak bir RDP sunucusuna (bilgisayar) başarıyla bağlandıktan sonra, Windows Update aracılığıyla (wuauserv hizmetinin etkin olduğunu doğrulayın) veya manuel olarak en son güvenlik güncellemelerini yüklemeniz gerekir. En son toplu Windows güncellemelerini yukarıda gösterildiği gibi Microsoft Update Kataloğu web sitesinden indirip yükleyin. MSU güncellemesi yüklenirken “Güncelleme bilgisayarınıza uygulanamaz” hatası çıkıyorsa yukarıdaki bağlantıyı kullanarak makaleyi okuyunuz.

Güncellemeleri yükledikten ve sunucuyu yeniden başlattıktan sonra, istemcilerde ilkeyi devre dışı bırakmayı (ya bunu Zorla Güncellenen İstemcilere olarak değiştirmeyi) ya da AllowEncryptionOracle kayıt defteri parametresinin değerini 0'a döndürmeyi unutmayın. Bu durumda, bilgisayarınız CredSSP korumasız ana bilgisayarlara bağlanma ve güvenlik açığından yararlanma riski altında olmayacaktır.

REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0

Güncellemelerin bilgisayarınıza yüklenmediği başka bir senaryo daha var. Örneğin, RDP sunucusu güncellenir, ancak güvenlik açığı bulunan CredSSP sürümüne sahip bilgisayarlardan gelen RDP bağlantılarını engelleyen bir ilkeye sahiptir (İstemcileri Güncelleştirmeye Zorla ilke ayarı). Bu durumda, “Bu, CredSSP şifreleme oracle düzeltmesinden kaynaklanıyor olabilir” RDP bağlantı hatasını da göreceksiniz.

PSWindowsUpdate modülünü kullanarak veya PowerShell konsolundaki WMI komutu aracılığıyla Windows güncellemelerinin bilgisayarınızdaki son yükleme tarihini kontrol edin:

gwmi win32_quickfixengineering |sort installedon -desc