LSA-Schutz beim Start
Für den Registry-Wert `RunAsPPLBoot` und die Wertdaten `1` veröffentlicht Microsoft keine technische Referenz, aus der sich eine eigenständige oder unterstützte Wirkung ableiten lässt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\RunAsPPLBoot
Für den Registry-Wert RunAsPPLBoot und die Wertdaten 1 veröffentlicht Microsoft keine technische Referenz, aus der sich eine eigenständige oder unterstützte Wirkung ableiten lässt. Insbesondere ist nicht offiziell dokumentiert, dass dieser Wert allein den Schutz der lokalen Sicherheitsautorität (LSA) aktiviert oder LSASS.exe als geschützten Prozess startet.
Der von Microsoft dokumentierte Registry-Wert für diese Funktion heißt RunAsPPL. Bei tatsächlich aktiviertem LSA-Schutz wird LSASS.exe als geschützter Prozess ausgeführt. Dadurch können nicht geschützte Prozesse den Speicher von LSA nicht ohne Weiteres lesen oder Code in den Prozess einschleusen.
Hinweise
Sicherheit
Ein vorhandener RunAsPPLBoot-Wert mit den Wertdaten 1 ist kein von Microsoft dokumentierter Nachweis dafür, dass LSA-Schutz wirksam ist. Daher darf aus diesem Registry-Wert allein nicht geschlossen werden, dass gespeicherte Anmeldeinformationen gegen Speicherzugriffe oder Codeeinschleusung geschützt sind.
Wenn LSA-Schutz über eine unterstützte Konfiguration tatsächlich aktiv ist, erschwert er den Diebstahl der von LSA verwalteten Anmeldeinformationen. Er ersetzt jedoch weder Credential Guard noch andere Schutzmaßnahmen für Anmeldeinformationen.
Mögliche Nebenwirkungen
Die Auswirkungen von RunAsPPLBoot=1 auf Kompatibilität und Systemverhalten sind nicht offiziell dokumentiert.
Bei tatsächlich aktiviertem LSA-Schutz können nicht ausreichend signierte oder anderweitig inkompatible LSA-Plug-Ins und Treiber nicht geladen werden. Dies kann beispielsweise Kennwortfilter, Smartcardkomponenten oder kryptografische Plug-Ins betreffen. Außerdem lässt sich an den geschützten LSASS-Prozess kein Debugger anhängen.
Hinweise
RunAsPPLBoot darf nicht mit dem offiziell dokumentierten Wert RunAsPPL gleichgesetzt werden. Microsoft beschreibt für RunAsPPL die Wertdaten 1 als Aktivierung mit einer in der UEFI-Firmware gespeicherten Konfiguration und – auf unterstützten Versionen von Windows 11 ab Version 22H2 – die Wertdaten 2 als Aktivierung ohne UEFI-Sperre.
Da Microsoft für RunAsPPLBoot weder die Bedeutung der möglichen Wertdaten noch unterstützte Windows-Versionen dokumentiert, bleibt der im Setup-Foundry-Katalog angegebene Zweck „Enable LSA Protection at boot“ für diesen einzelnen Registry-Wert offiziell unbelegt.
Microsoft-Dokumentation
Microsoft Learn: Konfigurieren des hinzugefügten LSA-Schutzes
Microsoft Support: Gerätesicherheit in der App „Windows-Sicherheit“