Encryption Oracle-Abwehr
Der `REG_DWORD`-Wert bestimmt die Schutz- und Kompatibilitätsstufe für Anwendungen und Dienste, die das Credential Security Support Provider Protocol (CredSSP) verwenden, beispielsweise die Remotedesktopverbindung.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters\AllowEncryptionOracle
Der REG_DWORD-Wert bestimmt die Schutz- und Kompatibilitätsstufe für Anwendungen und Dienste, die das Credential Security Support Provider Protocol (CredSSP) verwenden, beispielsweise die Remotedesktopverbindung. Er steuert, ob aktualisierte CredSSP-Clients auf unsichere Protokollversionen zurückfallen dürfen und ob CredSSP-Dienste nicht aktualisierte Clients akzeptieren.
Die unterstützten Wertdaten haben folgende Bedeutung:
0– Aktualisierte Clients erzwingen: Clients dürfen nicht auf unsichere CredSSP-Versionen zurückfallen. Dienste lehnen nicht aktualisierte Clients ab.1– Entschärft: Clients dürfen nicht auf unsichere CredSSP-Versionen zurückfallen. Dienste akzeptieren weiterhin nicht aktualisierte Clients.2– Anfällig: Clients unterstützen den Rückfall auf unsichere CredSSP-Versionen. Dienste akzeptieren nicht aktualisierte Clients.
Hinweise
Sicherheit
Die Einstellung dient der Abwehr von CVE-2018-0886. Bei anfälligen CredSSP-Versionen kann ein Angreifer Benutzeranmeldeinformationen während der Authentifizierung weiterleiten und dadurch Code auf einem Zielsystem ausführen.
Der Wert 2 lässt den unsicheren Protokollrückfall zu und setzt Remoteserver Angriffen durch entsprechend anfällige Clients aus. Der Wert 1 verhindert diesen Rückfall auf dem Client, lässt serverseitig jedoch weiterhin Verbindungen nicht aktualisierter Clients zu. Der Wert 0 unterbindet zusätzlich die Annahme nicht aktualisierter Clients und bietet damit den strengsten Schutz der drei Stufen.
Mögliche Nebenwirkungen
Strengere Schutzstufen können CredSSP-Verbindungen zwischen unterschiedlich aktualisierten Systemen verhindern. Insbesondere können aktualisierte Clients, die keinen unsicheren Rückfall zulassen, keine CredSSP-Verbindung zu nicht aktualisierten Servern herstellen. Bei 0 lehnen CredSSP-Dienste außerdem nicht aktualisierte Clients ab.
Davon können Remotedesktopverbindungen sowie andere Anwendungen betroffen sein, die CredSSP zur Authentifizierung verwenden. Bei blockierten Verbindungen kann Windows einen Authentifizierungsfehler melden und das Systemereignis 6041 protokollieren. Ein für Remotedesktop konfigurierter TLS-Fallback kann zu einem anderen Verhalten führen, da die von Microsoft dokumentierte Kompatibilitätsmatrix ausschließlich CredSSP beschreibt.
Hinweise
Microsoft änderte mit den Sicherheitsupdates vom 8. Mai 2018 das Standardverhalten aktualisierter Systeme von Anfällig auf Entschärft. Eine Änderung von AllowEncryptionOracle wird laut Microsoft erst nach einem Neustart wirksam.
Die Einstellung beeinflusst nur das Verhalten entsprechend aktualisierter CredSSP-Komponenten. Sie ersetzt nicht die Sicherheitsupdates, welche die zugrunde liegende Sicherheitsanfälligkeit beheben.
Microsoft-Dokumentation
Microsoft Learn: ADMX_CredSsp Policy CSP
Microsoft Support: CredSSP-Updates für CVE-2018-0886