WDigest-Authentifizierung
Der DWORD-Wert `UseLogonCredential` steuert, ob WDigest Anmeldeinformationen im Arbeitsspeicher speichert.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential
Der DWORD-Wert UseLogonCredential steuert, ob WDigest Anmeldeinformationen im Arbeitsspeicher speichert. Beim Wert 0 speichert WDigest keine Kennwortanmeldeinformationen für die spätere Wiederverwendung im Arbeitsspeicher.
Diese Einstellung deaktiviert nicht das WDigest-Authentifizierungsprotokoll selbst. Anwendungen können WDigest weiterhin verwenden, müssen die benötigten Anmeldeinformationen jedoch gegebenenfalls erneut beim Benutzer anfordern.
Hinweise
Sicherheit
Der Wert 0 verhindert, dass WDigest eine wiederverwendbare Klartextdarstellung des Kennworts in der Anmeldesitzung von LSASS vorhält. Dadurch entfällt eine bekannte Quelle für den Diebstahl von Kennwörtern durch Angriffe, die den Arbeitsspeicher von LSASS auslesen.
Die Einstellung schützt ausschließlich vor der Speicherung durch WDigest. Sie verhindert weder Angriffe auf andere in LSASS vorhandene Anmeldeinformationen noch die Offenlegung von Kennwörtern, die ein Benutzer später ausdrücklich für eine Anwendung oder Verbindung eingibt.
Mögliche Nebenwirkungen
Bei Anwendungen und Diensten, die WDigest verwenden, können Anmeldeinformationen häufiger abgefragt werden. Insbesondere kann sich das Verhalten älterer Anwendungen ändern, wenn diese auf die Wiederverwendung der bei der Windows-Anmeldung erfassten Anmeldeinformationen angewiesen sind.
Hinweise
Unter Windows 8.1, Windows Server 2012 R2 und neueren Versionen ist die Speicherung von WDigest-Anmeldeinformationen im Arbeitsspeicher standardmäßig deaktiviert; bei nicht vorhandenem Registry-Wert entspricht das Standardverhalten dem Wert 0.
Unter Windows 7, Windows Server 2008 R2, Windows 8 und Windows Server 2012 wurde die Steuerung durch UseLogonCredential mit dem Sicherheitsupdate 2871997 bereitgestellt. Nach Installation dieses Updates war der Standardwert auf diesen Systemen 1.
Microsoft stuft Microsoft Digest beziehungsweise WDigest seit Windows 11, Version 22H2, als veraltet ein. Die Unterstützung soll in zukünftigen Windows-Versionen weiter eingeschränkt und schließlich entfernt werden.
Microsoft-Dokumentation
Microsoft Support: Update zur Verbesserung des Schutzes und der Verwaltung von Anmeldeinformationen
Microsoft Learn: Windows-Sicherheitsbaseline
Microsoft Learn: Anfängliche Authentifizierung mithilfe von Microsoft Digest